Вирус-шифровальщик 3AM - резервный план злоумышленников, когда LockBit не сработал

Эксперты Symantec Threat Hunter сообщили о новом вирусе-шифровальщике 3AM, который злоумышленники начали использовать в случае неудачного развертывания вымогателя LockBit при осуществлении целевой атаки на инфраструктуру жертвы.

Исследование, проведенное ИБ-специалистами Symantec Threat Hunter, указывает на то, что использование шифровальщика 3AM для злоумышленников было запасным вариантом в случае блокировки защитными средствами развертывания LockBit, но им удалось развернуть шифровальщик в очень ограниченном объеме - только три компьютера пострадали от вируса 3AM.

ИБ-эксперты исследовали образцы вируса-шифровальщика 3AM и пришли к выводу, что это совершенно новый вид вредоносного кода, написанный на Rust. Вирус-шифровальщик 3AM пытается остановить работу системных служб и специализированного программного обеспечения, отвечающего за безопасность и резервное копирование, удаляет теневые копии данных и затем запускает процесс шифрования. Зашифрованные файлы получают расширение .THREEAMTIME. Для закрепления в атакованной системе вирус-шифровальщик создает отдельного пользователя и использует компоненты Cobalt Strike и PsExec для получения прав администратора.

Специалисты по кибербезопасности советуют пользователям быть осторожными с подозрительными электронными письмами и не открывать вложения в них. Также рекомендуется своевременно устанавливать обновления для операционной системы, антивирусов и другого программного обеспечения. Выполнять резервное копирование информации с соблюдением правила 3-2-1: иметь как минимум 3 копии данных в двух разных форматах и хранить одну копию информации в отдельном месте.