ESET предполагают, что для проникновения шифратора в корпоративную сеть используется SMB-эксплойт, подобный EternalBlue, который стал причиной массового характера эпидемии WannaCry. Дальнейшее распространение внутри локальной сети осуществляется через PsExec. Это сочетание обуславливает стремительное распространение вредоносной программы.
Если Win32/Diskcoder.C Trojan успешно инфицирует главную загрузочную запись (MBR — Master Boot Record), он зашифрует весь жесткий диск. В противном случае, программа шифрует все файлы (как Mischa).
Для заражения корпоративной сети достаточно одного уязвимого компьютера, на котором не установлены обновления безопасности. С его помощью вредоносная программа попадет в сеть, получит права администратора и распространится на остальные устройства.
Предположительно, эпидемия началась с украинских компаний. В настоящее время от шифратора пострадали около 80 российских и украинских организаций финансового и энергетического сектора и других отраслей.
Продукты ESET детектируют Win32/Diskcoder.C Trojan, начиная с 14:30 по московскому времени, а также защищают от эксплойт-атак на сетевом уровне.
Рекомендации для пользователей ESET NOD32:
- Домашние пользователи. Установить обновление антивирусного продукта.
- Корпоративные пользователи. Отправить обновления на все рабочие станции или установить обновление.
- Убедитесь, что на компьютере установлены все текущие обновления безопасности Windows.
Александр Горелов, специалист компании Softline Belarus по информационной безопасности, прокомментировал ситуацию c новым вредоносным вирусов: "Мы рекомендует комплексное решение обеспечения безопасности. Наиболее вероятное проникновение вредоносного ПО – это сеть «Интернет». Для предотвращения подобных фактов необходимо использовать решение Next Generation Firewall, в включающий в себя такие механизмы как: Firewall,IPS, контроль приложения, потоковый антивирус. Базы сигнатур должны быть в актуальном состоянии.
Необходимо обеспечить защиту операционной системы, используемой пользователями и серверной версии.
Средства защиты должны предоставлять не только механизмы защиты, но и централизованно анализа инцидентов и управления, что поможет в кратчайшие сроки предотвратить заражение"