Новости Вирус Alpha: новый игрок или старый вымогатель, восставший из пепла?

[NewsMaker]

Группа Netwalker пропала с радаров еще в 2021 году, но исследователи заметили подозрительные сходства, изучая другое ПО.

---

---

Эксперты обнаружили тревожные связи между появившимся недавно вирусом-вымогателем Alpha и преступной группировкой Netwalker, которая была ликвидирована несколько лет назад. Что это может значить?

Netwalker действовала с октября 2019 по январь 2021 года, предоставляя свое ПО другим злоумышленникам по принципу «вымогательство как услуга» (ransomware-as-a-service, RaaS ). После того, как правоохранительные органы заблокировали сайты группировки в даркнете, операторы Netwalker прекратили свою противозаконную деятельность и пропали с радаров.

Вирус Alpha впервые появился в феврале 2023 года, но первое время действовал скрытно, не рекламируя себя на хакерских форумах и не проводя масштабных атак. Спустя время злоумышленники создали сайт, на котором стали выкладывать украденные данные компаний и требовать за них выкуп.

Сейчас на сайте Alpha опубликована информация о 9 кибератаках, причём в 8 случаях уже выложены похищенные сведения. Согласно Для просмотра ссылки Войди или Зарегистрируйся от 29 января, вирус совершенствовался постепенно. В последней версии он добавляет к зашифрованным файлам случайное 8-значное буквенно-цифровое расширение.

Требования о выкупе теперь включают инструкции для связи с киберпреступниками. Суммы, по данным Neterich, варьируются от 13 200 до 100 000 долларов в зависимости от объема выручки атакованной организации.

Symantec установили связь вируса Alpha с преступной деятельностью Netwalker в своем Для просмотра ссылки Войди или Зарегистрируйся . Эта связь прослеживается в используемых новой группой инструментах и методах кибератак.

Основные сходства:

• Использование похожих загрузчиков на основе PowerShell для незаметной доставки вируса.
  
• Совпадение структуры и фрагментов кода, особенно в функциях шифрования файлов, отключения процессов и служб, вызова системных API.
  
• Схожая конфигурация правил исключения файлов, папок, процессов и служб из процедуры шифрования.
  
• Вредоносная программа автоматически удаляется после завершения шифрования с использованием специальных временных бат-файлов.
  
• На платёжных страницах о необходимости ввода пользовательского кода размещено идентичное сообщение.
  
• Кроме того, в последних атаках Alpha активно использовал встроенные инструменты Windows, что характерно для многих хакерских групп.
  

Таким образом, у исследователей немало оснований полагать, что разработчики Netwalker и Alpha тесно связаны. Либо Alpha – это ребрендинг Netwalker, либо их код используется новой группой киберпреступников. По мнению экспертов Symantec, кто-то мог незаконно заполучить код Netwalker и адаптировать его для своих целей.

Несмотря на то, что на данный момент Alpha не является основным игроком на рынке вирусов-вымогателей, аналитики оценивают потенциал этой новой киберугрозы как весьма высокий и быстрорастущий.