Троянская доля Мойзеса Гонсалеса
Венесуэльский кардиолог уличен в создании вирусов-вымогателей Jigsaw и Thanos
Мойзес Луис Загала Гонсалес Власти США выявили разработчика вредоносных программ Jigsaw и Thanos, получивших широкое распространение в конце прошлого десятилетия. Им оказался 55-летний кардиолог из Венесуэлы. Со слов его родственников, программированию он обучился самостоятельно. Свое ПО он продавал и даже лицензировал одним хакерам, а другие получали его бесплатно в обмен на часть прибыли от атак.
Хакер под маской врача
Министерство юстиции США сегодня обвинило 55-летнего гражданина Венесуэлы Мойзеса Луиса Загала Гонсалеса (Moises Luis Zagala Gonzalez) в создании нашумевших вирусов-вымогателей, пишет портал Bleeping Computer. По утверждению представителей ведомства, именно он ответственен за создание шифровальщиков Jigsaw и Thanos.
В документах американского Минюста указано, что Гонсалес, работающий кардиологом имеющий двойное гражданство (Венесуэла и Франция) не стал ограничиваться одной лишь разработкой Jigsaw и Thanos. По утверждению властей, он продавал и лицензировал их другим хакерам, а также предлагал им свои услуги по техподдержке малварей и обучению их использованию.
ID-карта Мойзеса Луиса Загала Гонсалеса Дополнительным гонораром Гонсалеса, по информации Минюста, являлась часть выкупа, который получали хакеры от своих жертв. В киберпреступном сообществе кардиолог был известен под псевдонимами Nosophoros, Aesculapius и Nebuchadnezzar.
«Многозадачный врач, лечив пациентов, попутно создал и назвал свой киберинструмент в честь смерти (Thanos — в честь Tanatos олицетворения смерти в греческой мифологии — прим. CNews), а также зарабатывал на глобальной экосистеме программ-вымогателей, в которой продавал инструменты для проведения атак программ-вымогателей, обучал злоумышленников тому, как вымогать деньги у жертв, а затем хвастался успешными атаках, в том числе со стороны злоумышленников, связанных с правительством Ирана», а — заявил прокурор США Брион Пис (Breon Peace).
Творения Гонсалеса
Jigsaw — это первое творение кардиолога, проживающего в Сьюдад-Боливаре (Венесуэла). По данным Bleeping Computer, этот вымогатель не проявлял активность с осени 2021 г., хотя и до этого он использовался нечасто, в том числе и потому, что для него существует бесплатный дешифровщик. Что вдохновило Гонсалеса назвать свой продукт именно так, остается неизвестным. Не исключено, что это отсылка к фильмам серии «Пила» (Jigsaw). Также это может быть связано с популярным видом головоломок jigsaw puzzle, в России известным просто как «пазл».
На основе оригинального Jigsaw, по данным Минюста США, хакер разработал Jigsaw 2.0, в который встроил так называемый счетчик «судного дня» (Doomsday counter). Он отслеживал, сколько раз пользователь пытался уничтожить программу-вымогатель на своем ПК. «Если пользователь слишком много раз уничтожает программу-вымогатель, то ясно, что он не будет платить, поэтому лучше стереть весь жесткий диск», — приводят представители Минюста цитату из описания к вредоносу.
Во второй половине 2019 г. Гонсалес начал рекламировать свой новый продукт — Thanos. Вероятно, название является отсылкой к одноименному злодею из вселенной Marvel, который уничтожил половину всего живого во Вселенной. Имя персонажа является выводом из имени Танатос, олицетворения смерти в греческой мифологии.
Интерфейс Thanos Thanos представляет собой своего рода конструктор по созданию программ-вымогателей. С его помощью хакеры могут создавать собственные вредоносы для дальнейшего использования или предоставления в аренду другим киберпрестуникам. Thanos распространялся по модели Ransomware-as-a-Service («Вымогатель-как-услуга», RaaS)
Схема заработка
Гонсалес разработал целую схему монетизации своих вредоносов, которую наиболее успешно применял с Thanos. Он предложил всем интересующимся два способа заполучить его продукт.
Активность программы-вымогателя Thanos Первый подразумевал покупку «лицензии» на использование Thanos. Такая лицензия имела свой срок действия, а в сам конструктор был встроен скрипт, в котором прописаны алгоритмы фонового подключения к специальному серверу для проверки действительности лицензии. Сервер размещался в Шарлотте (Северная Каролина, США). Стоимость базовой лицензии составляла $500 (31,8 тыс. руб. по курсу ЦБ на 18 мая 2022 г.). Она подразумевала лишь ограниченный набор возможностей конструктора. За $800 (50,8 тыс. руб.) клиенты получали доступ ко всем функциям Thanos.
Второй способ сам Гонсалес называл «партнерской программой». Хакер открывал желающим доступ к Thanos в обмен на часть выкупа. Расплачиваться с ним можно было как фиатными деньгами, так и криптовалютой, включая Monero и Bitcoin.
Максимальная клиент-ориентированность
Гонсалес продвигал Thanos на различных онлайн-форумах, часто посещаемых киберпреступниками, используя псевдонимы, отсылающие к греческой мифологии. Двумя его любимыми прозвищами были «Эскулап» (Aesculapius), относящееся к древнегреческому богу медицины, и «Нософор» (Nosophoros), что в переводе с греческого означает «носящий болезни». В публичной рекламе программы Гонсалес хвастался, что программы-вымогатели, созданные с помощью Thanos, почти не выявляются антивирусными программами и что «после завершения шифрования программа-вымогатель удаляет себя, делая обнаружение и восстановление почти невозможными для жертвы».
В приватных беседах с клиентами Гонсалес объяснял, как развертывать свои продукты для вымогателей — как составить записку с требованием выкупа, украсть пароли с компьютеров-жертв и установить биткоин-адрес для выплаты выкупа. Помимо этого, он объяснял им все тонкости работы своего ПО.
Клиенты Гонсалеса положительно оценили его продукцию. В июле 2020 г. один человек опубликовал сообщение, восхваляющее Таноса, написав: «Я купил программу-вымогатель у Nosophoros, и она очень мощная». Он добавил, что использовал софт Гонсалеса для заражения сети примерно из 3000 компьютеров.
В декабре 2020 г. другой пользователь написал пост на русском языке: «Работаем с этим продуктом уже больше месяца, имеем хорошую прибыль! Лучшая поддержка, которую я встречал».
Потенциальный переезд в тюрьму
Американские власти начали выслеживать Гонсалеса весной 2020 г. В первых числах мая 2020 г. сотрудник ФБР под прикрытием вышел с ним на связь и стал обсуждать подключение к его «партнерской» программе. Хакер отказал, но предложил купить у него лицензию.
Расследование шло два года, все его аспекты Минюст пока не раскрывает. Известно лишь, что к началу мая 2022 г. сотрудники ФБР уже вычислили связь Гонсалеса с Thanos. Они опросили одного из его родственников, проживающего во Флориде (США), чей счет в сети PayPal Гонсалес использовал для получения незаконных доходов. Этот родственник подтвердил, что Гонсалес проживает в Венесуэле, и что программированию он обучился самостоятельно.
Тот же родственник согласился предоставить агентам ФБР контактную информацию Гонсалеса в своем телефоне. Она совпала с зарегистрированным адресом электронной почты для вредоносной инфраструктуры, связанной с Thanos.
В настоящее время создателю Thanos грозит тюремный срок. Его могут посадить на 10 лет — до пяти лет он может получить за попытку взлома компьютера, и еще столько же — за сговор с целью взлома компьютера.
***
Новый троян-вымогатель под названием Jigsaw не только шифрует файлы, но и даёт жертве действенный стимул не медлить с выкупом. Для этого он удаляет документы с диска один за другим, пока ему не заплатят.
После запуска троян отыскивает на накопителях заражённого компьютера файлы 226 различных типов, шифрует их при помощи алгоритма AES и переименовывает, добавляя расширение .fun (другие модификации Jigsaw используют расширения .gws, .kkk и .btc).
Когда файлы зашифрованы, вредоносная программа выводит на экран портрет Конструктора из серии фильмов «Пила» (по-английски этого персонажа зовут Jigsaw, чем и объясняется название трояна). К портрету прилагается витиеватая записка с угрозами и требованием заплатить выкуп.
Зараженный вирусом Jigsaw компьютер Размер выкупа составляет 0,4 биткоина (чуть больше 11 тысяч рублей). В том случае, если жертва не переведёт деньги в течение часа, Jigsaw удалит один из зашифрованных файлов. После этого с каждым прошедшим часом он будет удалять всё больше и больше файлов, но выключать или перезагружать компьютер лучше не стоит. Когда он заработает снова, пропадёт сразу тысяча файлов.
Специалисты по вредоносному софту Майкл Гиллеспи, Лоуренс Абрамс и хакерская группа MalwareHunterTeam разработали программу JigSawDecrypter, которая вскрывает шифрование Jigsaw. Перед её запуском необходимо вручную остановить процессы firefox.exe и drpbx.exe (этими названиями, как правило, маскируются процессы трояна).
***
Специалисты Palo Alto Networks заметили, что шифровальщик Thanos обзавелся новой функциональностью и пытается вносить изменения в MBR (Master Boot Record) на зараженных машинах, чтобы воспрепятствовать нормальному запуску системы.
В частности такое поведение вредоноса было зафиксировано в июле 2020 года, во время двух атак на госучреждения на Ближнем Востоке и Северной Африке. К счастью, авторы малвари допустили ошибку в коде, и MBR пострадавших систем остается целым.
«Перезапись MBR — это более деструктивный подход к вымогательским атакам. Жертвам придется приложить больше усилий, чтобы восстановить свои файлы, даже если они заплатят выкуп. К счастью, в данном случае код, отвечающий за перезапись MBR, не срабатывал, так как сообщение с требованием выкупа [которое должно выводиться на экране блокировки] содержало недопустимые символы», — рассказывают аналитики Palo Alto Networks.
Хотя перезаписать MBR малвари не удалось, во время упомянутых атак операторы Thanos создали на зараженных машинах обычные текстовые файлы HOW_TO_DECIPHER_FILES.txt и потребовали у своих жертв 20 000 долларов за восстановление данных. При этом у экспертов нет информации о том, согласились ли пострадавшие на уплату выкупов.
Вымогательское послание Thanos Исследователи полагают, что злоумышленники проникли в целевые сети задолго до развертывания пейлоадов вымогателя, так как в образцах, восстановленных после атаки, удалось обнаружить действительные учетные данные.
Thanos представляет собой RaaS (Ransomware-as-a-Service), который активно рекламируется на русскоязычных хакерских форумах с февраля 2020 года. Некоторые образцы Thanos также фигурировали в отчетах экспертов под названием Hakbit (из-за различных расширений, который шифровальщик оставляет после себя), но исследователи из Recorded Future пишут, что это была одна и та же малварь.
SecurityLab.ru, 17.05.2022, «55-летний кардиолог оказался автором опасного вымогательского ПО»: Thanos перестал появляться в сообщениях о взломе ID-Ransomware c февраля 2022 года, а в июне 2021 года на VirusTotal произошла утечка конструктора вредоносных программ Ransomware Builder.
Некоторые образцы вредоносного ПО Thanos ранее были помечены как Prometheus, Haron или Hakbit из-за различных форматов шифрования, используемых аффилированными лицами. Однако, группа Insikt из Recorded Future обнаружила, что это одна и та же программа.
«Основываясь на сходстве кода, повторном использовании строк и базовой функциональности, Insikt Group с высокой степенью уверенности оценивает, что образцы программы Hakbit созданы с использованием конструктора Thanos Ransomware Builder, разработанного Nosophoros», — говорится в сообщении Insikt Group.
По словам Министерства юстиции США, Zagala публично обсуждал использование его инструментов «клиентами», «в том числе путем ссылки на новостную статью об использовании хакерской группой, спонсируемой иранским государством, программы Thanos для атак на израильские компании», согласно отчету ClearSky об операции Operation Quicksand. — Врезка К.ру
Если Вас заинтересовала новость:
- Ниже на странице вы можете видеть взаимосвязанные статьи (при их наличии).
- Обратите внимание на ссылки, имеющиеся в статье, за ними содержится дополнительная информация.
- Воспользуйтесь поиском на сайте для получения дополнительных материалов по интересующей вас теме.
Вирусная доля Мойзеса Гонсалеса.
Вирусная доля Мойзеса Гонсалеса
Венесуэльский кардиолог изобличен в разработке вирусов-шантажистов Jigsaw и Thanos
Мойзес Луис Загала Гонсалес Американские власти обнаружили разраба вредных программ Jigsaw и Thanos, которые получили обширное распространение в конце прошедшего десятки лет. Им оказался 55-летний кардиолог из Венесуэлы. По словам его родных, программированию он обучился без помощи других. Свое ПО он продавал и даже лицензировал одним взломщикам, а остальные получали его безвозмездно в обмен на часть дохода от нападений.
Взломщик под маской доктора
Минюст Соединенных Штатов сейчас обвинило 55-летнего гражданина Венесуэлы Мойзеса Луиса Загала Гонсалеса (Moises Luis Zagala Gonzalez) в разработке нашумевших вирусов-шантажистов, пишет портал Bleeping Computer. Согласно заявлению уполномоченных лиц учреждения, конкретно он несет ответственность за создание кодировщиков Jigsaw и Thanos.
В документах американского Министерства юстиции обозначено, что Гонсалес, который работает кардиологом имеющий двойное гражданство (Венесуэла и Франция) не стал ограничиваться одной только разработкой Jigsaw и Thanos. Согласно заявлению властей, он продавал и лицензировал их иным взломщикам, также высказывал предложение им свои услуги по технической поддержке малварей и обучению их использованию.
ID-карта Мойзеса Луиса Загала Гонсалеса Доп гонораром Гонсалеса, по имеющимся сведениям Министерства юстиции, являлась часть приобретения, который получали кибервзломщики от собственных погибших. В киберпреступном обществе кардиолог был известен под именами Nosophoros, Aesculapius и Nebuchadnezzar.
«Многозадачный доктор, лечив пациентов, попутно сделал и назвал собственный киберинструмент в честь погибели (Thanos — в честь Tanatos олицетворения погибели в греческой мифологии — прим. CNews), также зарабатывал на глобальной экологической системе программ-шантажистов, в какой продавал инструменты для проведения нападений программ-шантажистов, учил преступников тому, как вытягивать средства у погибших, а потом хвастался успешными атаках, также со стороны преступников, которые связаны с кабинетом министров Ирана», а — заявил прокурор США Брион Пис (Breon Peace).
Творения Гонсалеса
Jigsaw — это 1-ое творение кардиолога, который проживает в Сьюдад-Боливаре (Венесуэла). По данным Bleeping Computer, данный шантажист не проявлял активность с осени 2021 г., несмотря на то, что ранее он употреблялся нечасто, также и поэтому, что для него существует бесплатный дешифровщик. Что вдохновило Гонсалеса назвать собственный продукт конкретно так, остается неведомым. Возможно, что это отсылка к фильмам серии «Пила» (Jigsaw). Кроме того это быть может соединено с пользующимся популярностью видом головоломок jigsaw puzzle, в Российской Федерации популярным просто как «пазл».
На базе необычного Jigsaw, по данным Министерства юстиции США, взломщик разработал Jigsaw 2.0, в который встроил так именуемый счетчик «конца света» (Doomsday counter). Он выслеживал, сколько раз пользователь пробовал убить программку-шантажист на собственном ПК. «Если пользователь сильно большое количество раз уничтожает программку-шантажист, то понятно, что он не будет платить, потому лучше стереть весь твердый диск»,— сообщают представители Министерства юстиции цитату из описания к вредоносу.
Во 2-ой половине 2019 г. Гонсалес начал рекламировать собственный новый продукт — Thanos. Возможно, заглавие является отсылкой к одноименному злодею из вселенной Marvel, уничтоживш?? половину всего живого во Вселенной. Имя персонажа является выводом из имени Танатос, олицетворения погибели в греческой мифологии.
Интерфейс Thanos Thanos представляет из себя собственного рода конструктор по созданию программ-шантажистов. С его помощью кибервзломщики могут создавать свои вредоносы для предстоящего использования либо предоставления в аренду иным киберпрестуникам. Thanos распространялся по модели Ransomware-as-a-Service («Шантажист-как-услуга», RaaS)
Схема заработка
Гонсалес разработал целую схему монетизации собственных вредоносов, которую более удачно использовал с Thanos. Он высказал преложение всем интересующимся два метода заполучить его продукт.
Активность программы-шантажиста Thanos 1-ый предполагал покупку «лицензии» на внедрение Thanos. Данная лицензия имела собственный срок деяния, а в сам конструктор был встроен скрипт, в каком прописаны методы фонового подключения к специальному серверу для проверки реальности лицензии. Сервер располагался в Шарлотте (Северная Каролина, США). Цена базисной лицензии составляла $500 (31,8 тыс. руб. по курсу ЦБ на 18 мая 2022 г.). Она предполагала только ограниченный набор возможностей конструктора. За $800 (50,8 тыс. руб.) клиенты получали доступ ко всем функциям Thanos.
2-ой метод сам Гонсалес называл «партнерской программой». Взломщик открывал желающим доступ к Thanos в обмен на часть приобретения. Рассчитываться с ним можно было как фиатными средствами, так и цифровой валютой, в том числе Monero и Bitcoin.
Наибольшая клиент-ориентированность
Гонсалес продвигал Thanos на разных online-форумах, нередко посещаемых хакерами, задействуя псевдонимы, которые отсылают к греческой мифологии. 2-мя его возлюбленными прозвищами были «Эскулап» (Aesculapius), которое относится к древнегреческому богу медицины, и «Нософор» (Nosophoros), что в переводе с греческого значит «носящий заболевания». В общественной рекламе программы Гонсалес хвастался, что программы-шантажисты, которые были созданы при помощи Thanos, практически не выявляются противовирусными программами и что «после окончания кодирования программа-шантажист удаляет себя, делая обнаружение и восстановление практически неосуществимыми для жертвы».
В приватных разговорах с клиентами Гонсалес разъяснял, как развертывать свои товары для шантажистов — как составить записку с требованием приобретения, похитить пароли с компов-погибших и установить bitcoin-адрес для выплаты приобретения. Также, он разъяснял им все тонкости работы собственного ПО.
Клиенты Гонсалеса положительно оценили его продукцию. В июле 2020 г. один человек предал гласности сообщение, которое восхваляет Таноса, написав: «Я купил программку-шантажист у Nosophoros, и она чрезвычайно мощная». Он также сообщил, что употреблял софт Гонсалеса для заражения сети приблизительно из 3000 компов.
В декабре 2020 г. иной пользователь написал пост на российском языке: «Работаем с этим продуктом уже больше месяца, имеем неплохую прибыль! Наилучшая поддержка, которую я встречал».
Возможный переезд в тюрьму
Властные структуры США начали отслеживать Гонсалеса весной 2020 г. В первых числах мая 2020 г. работник ФБР под прикрытием вышел с ним на связь и стал обсуждать подключение к его «партнерской» программе. Взломщик отказал, но предложил приобрести у него лицензию.
Расследование шло два года, все его нюансы Министерство юстиции пока не открывает. Понятно только, что к началу мая 2022 г. работники ФБР уже определили связь Гонсалеса с Thanos. Они опросили 1-го из его родных, который проживает во Флориде (США), чей счет в сети PayPal Гонсалес употреблял для получения нелегальных доходов. Данный родственник сообщил, что Гонсалес живёт в Венесуэле, и что программированию он обучился без помощи других.
Этот же родственник согласился предоставить агентам ФБР контактную данные Гонсалеса в собственном телефоне. Она совпала с зарегистрированным адресом емайл для вредной инфраструктурных объектов, связанной с Thanos.
В текущее время создателю Thanos угрожает тюремный срок. Его могут высадить на десять лет — до 5 лет он может получить за попытку взлома компа, и еще столько же — за сговор в целях взлома компа.
***
Новый троян-шантажист под заглавием Jigsaw не только кодирует файлы, да и даёт жертве действующий стимул не канителить с приобретением. С этой целью он удаляет документы с диска один за одним, пока ему не заплатят.
После пуска троян ищет на накопителях заражённого компа файлы 226 разных типов, кодирует их с помощью метода AES и переименовывает, добавляя расширение .fun (остальные изменения Jigsaw употребляют расширения .gws, .kkk и .btc).
Когда файлы закодированы, вредная программа выводит на экран изображение Конструктора из серии кинофильмов «Пила» (по-английски этого персонажа зовут Jigsaw, чем и разъясняется заглавие трояна). К портрету прилагается витиеватая записка с угрозами и требованием заплатить приобретение.
Зараженный вирусом Jigsaw комп Размер приобретения составляет 0,4 bitcoin (чуток более 11 тысяч рублей). В этом случае, если жертва не переведёт средства в течение часа, Jigsaw удалит один из закодированных файлов. После чего с каждым прошедшим часом он будет удалять всё больше и больше файлов, но выключать либо перезагружать комп лучше не стоит. Когда он заработает опять, исчезнет сходу тысяча файлов.
Спецы по вредоносному софту Майкл Гиллеспи, Лоуренс Абрамс и хакерская группа MalwareHunterTeam разработали программку JigSawDecrypter, вскрывающ?? кодирование Jigsaw. Перед её пуском нужно вручную приостановить процессы firefox.exe и drpbx.exe (этими наименованиями, обычно, маскируются процессы трояна).
***
Спецы Palo Alto Networks увидели, что кодировщик Thanos обзавелся новой функциональностью и пробует заносить перемены в MBR (Master Boot Record) на зараженных машинках, чтоб помешать нормальному запуску системы.
А именно подобное поведение вредоноса было зафиксировано в июле 2020 года, во время 2-ух нападений на госучреждения в ближневосточном регионе и Северной Африке. К счастью, создатели малвари допустили ошибку в коде, и MBR пострадавших систем остается целым.
«Перезапись MBR — это больше деструктивный подход к вымогательским атакам. Жертвам придется приложить больше сил, чтоб вернуть свои файлы, даже если они заплатят приобретение. К счастью, в этом случае код, который отвечает за перезапись MBR, не срабатывал, в связи с тем, что сообщение с требованием приобретения [которое должно выводиться на дисплее наложенного блока] содержало неприемлимые знаки», — говорят специалисты Palo Alto Networks.
Однако перезаписать MBR малвари не получилось, во время указанных нападений операторы Thanos сделали на зараженных машинках обыденные текстовые файлы HOW_TO_DECIPHER_FILES.txt и потребовали у собственных погибших 20 000 долларов за восстановление данных. При всем этом у профессионалов нет инфы про то, согласились ли пострадавшие на уплату выкупов.
Вымогательское послание Thanos Исследователи считают, что преступники просочились в мотивированные сети за длительное время до размещения пейлоадов шантажиста, в связи с тем, что в образчиках, восстановленных после атаки, получилось найти действительные учетные данные.
Thanos представляет из себя RaaS (Ransomware-as-a-Service), который интенсивно рекламируется на русских хакерских форумах с февраля 2020 года. Некоторые эталоны Thanos также фигурировали в документах профессионалов под заглавием Hakbit (из-за разных расширений, который кодировщик оставляет после себя), но исследователи из Recorded Future сообщают, что это была одна и та же малварь.
SecurityLab.ru, 17.05.2022, «55-летний кардиолог оказался создателем небезопасного вымогательского ПО»: Thanos закончил появляться в сообщениях о взломе ID-Ransomware c февраля 2022 года, а в июне 2021 года на VirusTotal произошла утечка конструктора вредных программ Ransomware Builder.
Некоторые эталоны вирусного программного обеспечения Thanos до этого были помечены как Prometheus, Haron либо Hakbit из-за разных форматов кодирования, которые используются подконтрольными лицами. Но, группа Insikt из Recorded Future выяснила, что это одна и та же программа.
«Основываясь на сходстве кода, последущем использовании строк и базисной функциональности, Insikt Group с высочайшей степенью убежденности оценивает, что эталоны программы Hakbit сделаны с внедрением конструктора Thanos Ransomware Builder, который был разработан Nosophoros», — сообщается в публикации Insikt Group.
Согласно мнению Минюста США, Zagala на публике обсуждал внедрение его инструментов «клиентами», «также методом ссылки на новостную статью об использовании хакерской группой, которая спонсируется иранским страной, программы Thanos для нападения на израильские компании», согласно отчету ClearSky об операции Operation Quicksand. — Врезка К.ру
Источником новости является сайт Компромат.ру.
