Вирус-шифровальщик Zenis удаляет резервные копии данных

MalwareHunterTeam обнаружили новый вирус-вымогатель Zenis, который не только шифрует файлы пользователей, но целенаправленно повреждает их резервные копии на компьютере.

Хотя о векторе распространения нового вируса-шифровальщика пока ничего неизвестно, эксперты отмечают, что пострадавших пользователей уже немало. По данным MalwareHunterTeam, первые версии вредоноса использовали кастомный метод шифрования файлов, но теперь разработчики вымогателя перешли на AES, и восстановить данные после атаки Zenis пока не представляется возможным. К работе над этой проблемой уже подключился известный ИБ-эксперт Майкл Гиллеспи (Michael Gillespie), так что специалисты призывают пользователей не торопиться платить злоумышленникам выкуп.

Как уже было сказано выше, о векторах распространения вредоноса пока ничего неизвестно, хотя исследователи полагают, что вымогатель может распространяться через взломанные сервисы Remote Desktop.

Эксперты рассказывают, что вирус-вымогатель Zenis обладает несколькими отличительными чертами - перед началом работы шифровальщик проводит в зараженной системе две проверки. Сначала вирус-шифровальщик Zenis проверяет, совпадает ли имя исполняемого файла с iis_agent32.exe, а потом ищет в реестре HKEY_CURRENT_USER\SOFTWARE\ZenisService и проверяет его активность. Если такое значение в реестре обнаруживается, или имя файла не совпадает, процесс вымогателя ликвидируется, и шифрование данных не производится. Если все проверки успешно пройдены вредонос продолжал работу.

Zenis удаляет все теневые копии, отключает восстановление системы при запуске и очищает логи. Кроме того, по окончании шифрования файлов, вымогатель пытается обнаружить файлы резервных копий на локальных дисках и сетевых ресурсах. Такие файлы Zenis перезаписывает трижды, после чего окончательно их удаляет. В частности вредоноса интересуют файлы .win, .wbb, .w01, .v2i, .trn, .tibkp, .sqb, .rbk, .qic, .old, .obk, .ful, .bup, .bkup, .bkp, .bkf, .bff, .bak, .bak2, .bak3, .edb, .stm. Тем самым малварь не дает пострадавшему пользователю шанса восстановить данные из бэкапов.

Для защиты данных эксперты рекомендуют выполнять стандартные требования безопасности: не скачивать и не открывать подозрительные файлы, пользоваться антивирусами с актуальной базой, вовремя устанавливать обновления операционной системы и важных программ, а также обязательно делать резервные копии данных.

Резервирование информации должно выполняться регулярно и в автоматическом режиме без привлечения пользователей и администраторов. Бакапы лучше всего хранить одновременно в нескольких местах и, как минимум, одну резервную копию лучше всего хранить в облачном хранилище.

Сервис облачного резервирования BACKUPRENT поможет вам правильно организовать процесс резервирования данных строго следуя правилу 3-2-1 и разместит бэкапы в надежном специализированном облачном хранилище.

Мы уже выделили для вас 500 Гб в облачном хранилище на пробный бесплатный 30-дневный период. Подайте заявку на пробный доступ прямо сейчас и защитите критически важные данные вашей компании от сбоев и вирусов-шифровальщиков.