Новий вірус-вимагач Cring атакує шлюзи VPN Fortinet – Bits Media

Фахівці «Лабораторії Касперського» опублікували звіт про новий вірус-шифрувальники Cring, оператори якого використовують уразливість в старих версіях VPN-шлюзів Fortinet.

Оператори Cring використовують вразливість CME-2018-13379 у пристроях Fortinet SSL VPN для отримання доступу до мережі жертви. Потім вони за допомогою модифікованої утиліти Mimikatz отримують логіни та паролі користувачів з адміністративними привілеями та заражають ІТ-інфраструктуру атакованої компанії..

«В числі жертв нової вірусної кампанії виявилися й індустріальні корпорації з Європи.. Як мінімум в одному випадку зараження призвело до тимчасового припинення виробництва, оскільки сервери, використовуються на виробництві, були зашифровані вірусом», - Повідомляється у звіті.

Після отримання доступу до сервера в атакованій компанії зловмисники за допомогою Powershell-скрипту завантажують сам вірус-шифрувальник Cring. Вірус вимикає деякі служби та закриває програми, щоб зняти блокування файлів та повністю зашифрувати дані на сервері. наприклад, він зупиняє послуги систем резервного копіювання, а також служби баз даних.

Для шифрування використовуються стійкі до злому алгоритми RSA-8192 та AES-128. Після закінчення процесу шифрування в директоріях з'являються файли !!!!!readme.rtf і deReadMe!!!.txt з вимогою викупу. У файлах вказується, що «звичайний розмір викупу» складає 2 BTC, однак у разі зараження масштабної інфраструктури розмір викупу зростає.

Вразливість CME-2018-13379 у пристроях Fortinet була закрита ще у травні 2019 року. Представники компанії закликали всіх користувачів її продуктів негайно оновити шлюзи, якщо це не було зроблено раніше.

Нещодавно одразу кілька американських університетів повідомили
про витік персональних та фінансових даних до рук операторів вірусу-шифрувальника Clop. Хакери скористалися вразливістю у вирішенні передачі Accellion File Transfer Appliance.