Snatch: wirus restartuje komputer w trybie bezpiecznym, aby ominąć antywirus

Aktualizacje na bieżąco, minimalne zabezpieczenie i duża ostrożność przy klikaniu i pobieraniu. To ogólne (i najczęściej powtarzane) zalecenia, aby chronić nasze urządzenia… ale wiemy dobrze, że nie są one idealne. Złośliwe oprogramowanie się adaptuje, a jego twórcy stają się coraz sprytniejsi. Snatch jest tego dobitnym przykładem. Zamiast tracić czas i zasoby na łamanie zabezpieczeń antywirusowych, ten ransomware ucieka przed nimi, działając w trybie bezpiecznym systemu Windows, bez żadnego oporu.

Złośliwe oprogramowanie zdołało ukryć się w niemal każdym dostępnym formacie. E-maile, dokumenty, szablony Excela, gry. Zainfekowało konkretne rozszerzenia, sektory startowe, a nawet firmware. W ostatnich czasach koncepcja ransomware zyskała na sile, za sprawą bardzo agresywnych kampanii, które zaszkodziły firmom, agencjom rządowym i systemom opieki zdrowotnej. Logicznie, główne rozwiązania bezpieczeństwa odpowiedziały na to zagrożenie, ale historia jest daleka od zakończenia.

Jak Snatch omija zabezpieczenia?

Problem (jeśli można to tak nazwać) polega na tym, że zdecydowana większość tych rozwiązań działa w konwencjonalnym środowisku Windows, ze wszystkimi załadowanymi elementami. Jeśli wejdziemy w tryb bezpieczny (czytaj „tryb awaryjny”), nie aktywują się. Innymi słowy, tryb bezpieczny umożliwia całkowicie niechronione środowisko... i to właśnie wykorzystuje Snatch.

Zespół Sophos (który badał kampanię ransomware w ostatnich tygodniach) podzielił się doskonałą demonstracją działania Snatcha. Pierwszym krokiem jest wymuszenie restartu komputera w trybie bezpiecznym za pomocą polecenia „shutdown”, a następnie ponowne załadowanie się w tym trybie, jakby był usługą systemu Windows (dzięki wpisowi w rejestrze). Pliki użytkownika są skutecznie szyfrowane podczas restartu, a reszta to tylko prośba o klasyczny okup.

Oczywiście wszystko zależy od tego, jak payload Snatcha dotrze do komputera, ale gdy już to zrobi i uda mu się uruchomić… game over. Twórcy tego ransomware postanowili nie łowić małych rybek, ale woleli polować na rekiny, czyli skoncentrować swoje wysiłki na dużych firmach i agencjach rządowych. Nie przeszkadza to jednak innym złośliwym deweloperom zapożyczyć sztuczki z trybem bezpiecznym i zastosować ją we własnych tworach.

Teraz, mózgi stojące za Snatchem nie ograniczają się do szyfrowania danych. Zespół Sophos odkrył wyraźne zainteresowanie pozyskiwaniem nowych członków z uprzywilejowanym dostępem do sieci korporacyjnych, sklepów i innych firm. W zasadzie nie mają problemów z płaceniem za wejście do już zhakowanej sieci lub z łączeniem sił z innymi elementami.

Jednocześnie Sophos posiada dowody na kradzież danych przez tę grupę. Firma, która jest celem Snatcha, ryzykuje nie tylko zaszyfrowane i porwane pliki. Istnieje również możliwość, że zostaną sprzedane na czarnym rynku.

Źródło: Sophos