Gazdaság

A Netwalker zsarolóvírus betekintést nyújt a fenyegetők módszereibe

A Netwalker zsarolóvírussal kapcsolatos fertőzési kampány utáni nyomozás közben a Sophos a támadást végrehajtó bűnözők által használt fájlokra bukkant.

A vírusokat és egyéb fájlokat tartalmazó gyűjtemény számos részletet árul el a támadók módszereiről, melyeket a hálózatok kompromittálására, jogosultságaik magasabb szintre emelésére és a vírus munkaállomásokra való terjesztésére használtak a közelmúltbéli támadásokban.

A Netwalkert terjesztő bűnözői csapat változatos profilú célpontokat támadott meg az Egyesült Államokban, Ausztráliában és Nyugat-Európában. A legutóbbi jelentések arra utalnak, hogy a támadók úgy döntöttek, erőfeszítéseiket nagyobb szervezetekre összpontosítják, mint sem magánszemélyekre.

A Sophos által felfedezett eszköztár megerősíti ezt a feltevést, hiszen vállalati hálózatok rendszergazda hozzáférési adatainak megszerzésére szolgáló programokat is tartalmaz, melyeket Domain Controllerről való szoftverterjesztést alkalmazó eszközökkel kombináltak. Gyakori dolgok egy vállalati hálózatban, azonban ritkák az otthoni felhasználók esetében.

És bár a payload legnagyobb része a Netwalker volt, a Zeppelin Windows zsarolóvírus és a Smaug Linux zsarolóvírus különálló mintáit is megtalálták a kutatók.

Összegzés

A zsarolóvírus támadások napjainkban nem egyszeri események, mint a Wannacry volt 2017-ben. A bűnözők jól megalapozott procedúrákkal és eszköztárral rendelkeznek, melyeket rutinszerűen alkalmaznak. A támadások általában hosszabbak: a támadók napokat (akár heteket is) eltöltenek az áldozatnak jelölt szervezeten belül, alaposan feltérképezve a belső hálózatot, miközben hozzáférési adatokat és más hasznos információt gyűjtenek.

A Sophos kutatás eredményei jó példák a trendre, melyet mindannyian megfigyeltünk a fenyegetések terén. A bűnözők jól megtervezett manuális akciókat szerveznek meg, behatolnak az áldozat rendszereibe, alaposan felderítik őket és kikapcsolják a védelmet, mielőtt végrehajtanák a végső támadást.

A Netwalker zsarolóvírus mögött álló “threat actorok” kevésbé támaszkodnak a saját maguk által készített eszközökre, mint más zsarolóvírus csoportok. Az eszköztár legnagyobb része nyilvános forrásokból lett összegyűjtve. Az ilyen, úgynevezett “grey-hat” alkalmazások használatával spórolnak a fejlesztés idején, mely az eredetiség rovására megy.

Az ehhez hasonló, közvetlenül a támadók taktikáiba és eszközeibe való betekintések ritka lehetőséget kínálnak, hogy meglássuk, mi történik a színfalak mögött. Ez pedig drámai mértékben segíti a védekezőket abban, hogy felkészítsék a védelmüket a támadások korai szakaszai ellen, mielőtt a támadók terjeszteni kezdenék magát a zsarolóvírust.

Mit tartalmaz a bűnözők eszköztára?

Az archívum a fenyegetés mögött álló személyek által használt zsarolóvírus terjesztő csomagok legalább 12 különböző verzióját tartalmazta, illetve még számos más eszközt is:

egy átfogó eszközkészletet, melyekkel felderíthették a célzott hálózatokat,
a jogosultságok szintjét emelő és egyéb exploitokat, melyeket Windows számítógépek ellen lehet használni,
és olyan eszközöket, melyekkel ellophatják, kinyomozhatják vagy kierőszakolhatják az értékes információhoz vezető útvonalat egy gépről vagy egy hálózatról. (Beleértve a Mimikatzet, illetve a Mimidogz és Mimikittenz nevű változatait, utóbbiakat arra tervezték, hogy elkerüljék az endpoint biztonsági megoldás által való felfedezést.)

A szkriptek és exploit eszközök egy részét közvetlenül a Github repositorykból másolták le. Az eszközök egy része ingyenesen beszerezhető Windows segédprogram, mint például az Amplia Security Windows Credential Editorja.

Továbbá a következőket is megtalálták:

a Microsoft SysInternals PsTools csomag egy majdnem teljes gyűjteményét,
az NLBrute egy másolatát (amely brute-force módszerrel próbálja feltörni a jelszavakat),
a kereskedelmi forgalomban kapható TeamViewer és AnyDesk távoli kisegítő eszközeinek telepítőit,
és számos olyan eszközt, melyet a végpontok biztosításával foglalkozó cégek hoztak létre abból a célból, hogy eltávolítsák a saját (vagy más cégek) endpoint biztonsági megoldásait és vírusirtóit a számítógépről.

A betörés részleteinek felderítése

„Nem teljesen egyértelmű, hogy a kampány mögött álló bűnözők hogyan vetik meg a lábukat az általuk célzott hálózaton, azonban a nyomok arra utalnak, hogy a gyakran használt, elavult szerverszoftverek (például a Tomcat vagy Weblogic) jól ismert, részletesen ismertetett gyengeségeit vagy a gyenge RDP jelszavakat használják ki.”

– mondta Szappanos Gábor, a Sophos kiberbiztonsági szakértője.

Az NLBrute nevű brute-force eszközt is megtalálta a Sophos. Az eszköz konfigurációs fájljai azt mutatják, hogy egy előre megadott felhasználónevekből és jelszavakból álló gyűjtemény használatára állították be, melyekkel olyan számítógépek feltörését kísérelték meg, ahol engedélyezték a távoli asztal használatát. Az NLBrute használható olyan támadásokban, melyek célja a hálózatra való behatolás kívülről vagy arra is, hogy laterális hozzáférést szerezzenek más számítógépekhez, miután megvetették a lábukat a hálózaton.

Miután bejutottak az áldozatuk hálózatára, a támadók a jelek szerint a SoftPerfect Network Scannerét használták arra, hogy azonosítsák a nyitott SMB portokkal rendelkező számítógépeket és célpontlistát készítsenek róluk. Később a Mimikatzet, a Mimidogzot vagy a Mimikittenzt használhatták arra, hogy megszerezzék hozzájuk a hozzáférési adatokat.

A megtalált fájlok a bűnözők preferált exploitjainak gyűjteményét is megmutatták. Ezek között a következők szerepeltek:

az EternalDarkness SMBv3 exploit variánsai (CVE-2020-0796),
a CVE-2019-1458 lokális jogosultság exploit Windows ellen,
a CVE-2017-0213 Windows COM jogosultság-növelő exploit, melyet a Google Security Github fiókján publikáltak,
a CVE-2015-1701 “RussianDoll” jogosultság-növelő exploit.

Továbbá megtalálták a dirtycow sebezhetőség ellen használt pokemon exploit firefart variánsának forráskódját is; ez pedig túl sok nevetséges elnevezés egyetlen Linux jogosultság-szint emelő exploitra. A támadók arra sem vették a fáradtságot, hogy megváltoztassák a firefart alapértelmezés szerint megadott felhasználónév értékét, ám ezt máshol még megtehetik.

Az exploitok és hackelésre használt eszközök mellett a támadók összeszedtek egy színes gyűjteményt is, mely olyan szoftverekből állt, melyeket endpoint biztonsági megoldások és antivírusok Windows számítógépekről való eltávolítására terveztek. A gyűjteményükben található eszközök között megtaláltuk az ESET által közzétett AV Remover és a TrendMicro WorryFree Uninstall programokat is.

A zsarolóvírus terjesztése

A támadók a Netwalker zsarolóvírus-t általában egy reflektív PowerShell betöltő szkript használatával terjesztik, amelyet több rétegnyi kódolás véd az egyszerűbb elemzések ellen. A folyamat végén a Netwalker payload betöltődik és végrehajtódik. A végső kártevő egy DLL vagy egy futtatható fájl. A célszámítógépen lévő fájlok titkosításra kerülnek, a felhasználó pedig egy ilyen jellegű üzenetet talál:

Ha ezt a szöveget valamilyen okból a titkosítás vége előtt olvassa, ezt érthető amiatt, mivel a számítógép lelassult,
a szívverése pedig felgyorsult, mivel nem tudja kikapcsolni,
így azt javasoljuk, hogy távolodjon el a számítógépétől és fogadja el a tényt, hogy kompromittálódott.
Az újraindítás/leállítás miatt el fogja veszíteni a fájlokat a visszaállítás lehetősége nélkül.

Minden egyes alkalommal, amikor új szervezet az áldozat, a támadók a Netwalker DLL egy egyedi buildjét használják. Érdekes módon számos Netwalker DLL ugyanazt a létrehozási dátumot tartalmazza a PE headerben. Sőt, az egyetlen eltérés az encrypted blob store resource numberjében található, mely 1337 vagy 31337 lehet. Valószínűnek tűnik, hogy a legtöbb alkalommal ugyanazt a DLL template-et használják és csak ezt a encrypted blobot változtatják meg.

Related Topics:2020 betekintés netwalker sophos zsarolóvírus

Up Next

Újjászületik a magyar vasúti járműgyártás

Don't Miss

Online számálázóval segíti a Budapest Bank csoport a kisvállalkozókat

Gazdaság

Soha nem volt még ekkora a hitelkártya tartozás

Történelmi rekordot döntöttek júniusban a magyar háztartások hitelkártya- és folyószámlahitel-tartozásai. Gergely Péter, a BiztosDöntés.hu pénzügyi szakértője szerint a 166,8 milliárdos hitelkártya-állomány és a 170 milliárdot meghaladó folyószámlahitel-állomány mögött a nyári költségek áthidalása áll.

A szakember szerint július–augusztusban a fogyasztási hitelek kerülnek majd előtérbe – főleg az iskolakezdés költségeinek fedezése miatt.

Miközben júniusban fékeztek a nem folyószámla jellegű hiteltermékek – lakáshitelből közel 5 milliárd forinttal, személyi kölcsönből pedig 7 milliárd forinttal kevesebb került kihelyezésre, mint májusban – addig a folyószámla jellegű hiteltermékek kereslete számottevően felfutott.

Történelmi és 6 éves csúcsok dőltek

Gergely Péter, a BiztosDöntés.hu pénzügyi szakértője szerint a nyár első hónapjának végére történelmi csúcsra, 166,8 milliárd forintra futott fel a magyar háztartások hitelkártya tartozása. A növekmény egyetlen hónap alatt lényegében megegyezik azzal az összeggel, amennyivel kevesebb személyi kölcsönt vettek fel az ügyfelek a bankoktól, éves szinten pedig 5 százalékot meghaladó mértékű a kinnlevőség növekedése.

Nem csak a hitelkártyáknál, hanem a folyószámla hitelkeretek kihasználtságában is feljebb léptek a magyar családok. Június végén a folyószámlahitel-tartozás meghaladta a 170 milliárd forintot, a növekedés 11 százalékos volt éves szinten, egyetlen hónap alatt pedig itt is 7 milliárd forintos bővülés történt az MNB adatai szerint. A BiztosDöntés.hu pénzügyi szakértője arra emlékeztet, hogy utoljára 170 milliárd forintot meghaladó összeggel 2019 októberében tartoztak a magyar háztartások a pénzintézeteknek a folyószámlahitelek után.

Jön az iskolakezdés

Gergely Péter szerint a folyószámla jellegű hitelek nyár eleji felfutása egyértelműen azt jelzi, hogy a családok megpróbálták rulírozva kibekkelni a nyári hónapok emelkedő költségeit. Ám a szakember szerint a júliusi és az augusztusi adatok már egyértelműen a nem folyószámla jellegű hitelek felfutásáról fognak szólni, hiszen hagyományosan ez a két hónap az, amikor csúcsra járnak a fogyasztási hitelek.

Ez persze nem meglepő, hiszen a nyaralás finanszírozása mellett ezekben a hónapokban többen végeznek felújítási munkálatokat, az ősz közeledtével pedig egyre inkább előtérbe kerül az iskolakezdés költségeinek fedezése. A szükséges eszközök beszerzésére az áruhitel is segítséget jelenthet, ám Gergely Péter szerint a többség a személyi kölcsönök felé fordul majd.

A BiztosDöntés.hu személyi kölcsön kalkulátor szerint jelenleg 1 millió forintos hitelt 3 éves futamidőre 300 000 forintos jövedelem igazolása mellett a

a CIB Banknál 32 806 Ft-os törlesztővel,
az Ersténél 35 053 Ft-os törlesztővel,
és az MBH Banknál 36 023 Ft-os törlesztővel lehet felvenni

Gergely Péter szerint sokan személyi kölcsönből oldják meg – azok akik egyetemista/főiskolás gyermeket indítanak útjukra – az albérlet árát (a foglalót) illetve a költözéshez szükséges bútorok, stb. beszerzését is. Itt természetesen nagyobb összegekre van szükség.

A BiztosDöntés.hu kalkulációi szerint 3 millió forintos személyi kölcsönt 450 000 forintos jövedelem mellett 5 évre az UniCredit Banknál, az Ersténél és a CIB-nél is 63 000 – 64 000 Ft közötti törlesztővel lehet igényelni, a THM-ek ezeknél az ajánlatoknál 11,00% alatt vannak.

Gergely Péter szerint a bankok zöménél a személyi kölcsönöket már egyszerűsített online folyamattal is lehet igényelni.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Gazdaság

Mennyibe kerül ma egy átlagos használt autó?

2025 júniusában is folytatódott a hazai használtautó-piac fokozatos átrendeződése – derül ki a Használtautó.hu és a Központi Statisztikai Hivatal (KSH) közös statisztikai kiadványából.

A júniusi jelentés az együttműködés keretében megvalósuló havi statisztikai sorozat második része, amely célja, hogy pontosabb képet adjon a magyarországi használtautó-kínálat és kereslet jellemzőiről, alakulásáról.

Mennyibe kerül ma egy átlagos használt autó?

Az adatok szerint 2025 júniusában a meghirdetett autók átlagos kínálati ára 5,4 millió forint volt – ez körülbelül 200 ezer forintos emelkedést jelent az előző év azonos időszakához képest. A hirdetések 40,2%-a 2,5 millió forint alatti kategóriába tartozott, 26,4% a 2,5–5 millió forintos sávban jelent meg, 20,5% pedig 5 és 10 millió forint közé esett. A 10 millió feletti autók aránya mindössze 12,9% volt – vagyis a kínálat döntő többsége továbbra is elérhető árszinten mozog.

Az adatok nemcsak az árakról, hanem a kínálat szerkezetéről is pontos képet festenek. A hirdetett járművek fele benzinmeghajtású volt, míg 41,6%-uk dízelmotorral szerelt. Az alternatív hajtások súlya ugyan még mindig kisebb, de növekvő: elektromos autóból 5%, hibridből pedig 3,7% szerepelt a kínálatban. A legnagyobb bővülést az elektromos kategória produkálta: éves szinten 34,3%-kal nőtt a kínálatuk.

Érdekesség, hogy a hibridek kínálata az elmúlt egy évben nem nőtt, hanem épp ellenkezőleg: 3,8%-kal csökkent. A benzin- és dízelautók aránya ezzel szemben enyhén emelkedett – előbbiek kínálata 5,6, utóbbiaké 7,6%-kal bővült egy év alatt.

Mit árul el az életkor és a futásteljesítmény?

A különböző hajtású autók életkora és használtsága között is van különbség. A benzinesek átlagosan 14,1 évesek, míg a dízelek 12,3 évesek. Utóbbiak viszont jóval többet futottak: a dízel járművek átlagos futásteljesítménye 222 ezer kilométer, a benzineseké pedig 157 ezer kilométer – vagyis több mint 40%-os eltérés látszik. Ez a használati szokásokat is tükrözi, hiszen a dízel autókat jellemzően hosszabb utakra, intenzívebb igénybevételre használják.

A leggyakrabban hirdetett márkák élén továbbra is a Volkswagen, a BMW és az Opel állnak. Ezeket évek óta stabil kereslet jellemzi, nem véletlen, hogy a sorrend alig változott 2024 júniusa óta. A 10-es listán a legalacsonyabb átlagéletkora a Škodának (10,5 év), míg a legmagasabb a Suzukinak (15,1 év) volt júniusban. A 2024. júniusi adatokhoz képest egyedül a Suzuki életkora csökkent 0,3 évvel. A legnagyobb mértékű emelkedés pedig a BMW esetén következett be, amelynek átlagéletkora 0,5 évvel nőtt.

Hogy alakul ki egy autó végső ára?

A statisztikai elemzésből kiderül, hogy milyen tényezők befolyásolják az autók kínálati árát. Az egyik legfontosabb az állapot: egy újszerű autó átlagosan 26,4, egy kitűnő állapotú pedig 24,7%-kal drágább, mint egy normál állapotú. A sérült járművek ára ezzel szemben átlagosan 58,6%-kal alacsonyabb. Emellett minden 1000 megtett kilométer 0,2%-kal csökkenti az árat. Ugyanakkor a teljesítmény és a motor mérete emelheti az árat: 10 kW többlettel 3,8%, 100 cm³-rel pedig 3,3% árnövekedés figyelhető meg.

A Használtautó.hu és a KSH együttműködésében havonta megjelenő kiadvány célja, hogy új szintre emelje az átláthatóságot a magyar használtautó-piacon. A keresleti és kínálati adatok pontosabb megismerésével nemcsak a vásárlók és eladók, de a kereskedők és piaci elemzők is jobb döntéseket hozhatnak. A júniusi adatok alapján a piac továbbra is stabil, az árak enyhén emelkednek, és egyre nagyobb arányban jelennek meg alternatív hajtású járművek – vagyis a hazai használtautó-piac egyértelműen követi a technológiai és környezettudatos trendeket.

A használtautó piaci trendekről további információ a Használtautó.hu – KSH, 2025. júniusi statisztikájában olvasható.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!

Gazdaság

Új fejezet a MediaMarkt social kommunikációjában – A Deep Creative Collective lett a márka új ügynöksége

2025 nyarától a Deep Creative Collective ügynökséget bízta meg social kommunikációjának stratégiai és kreatív irányításával a MediaMarkt Magyarország.

A váltás új fejezetet nyit a márka közösségi jelenlétében: a cél, hogy a MediaMarkt social csatornái a jövőben még élőbb, relevánsabb és technológiailag is innovatívabb tartalmakkal szólítsák meg a közönséget.

A márka új stratégiájának központi eleme a „The Future is FUN!” koncepció, amely egyszerre reflektál a mai kor kihívásaira – mint a klímaválság, a mesterséges intelligencia vagy a gyorsan változó technológiai környezet – és kínál iránytűt egy pozitívabb jövőképhez. A stratégia célja, hogy segítse a követőket eligazodni a digitális világban, tudatos döntéseket hozni, okosan választani, és közben játszani, felfedezni és örülni a jövőnek.

Az új megközelítés egyik kulcsfontosságú eleme egy saját fejlesztésű AI karakter, aki nemcsak a legújabb technológiák bemutatásában segít, hanem egy játékos, inspiráló univerzumot is teremt. Ez az AI-karakter a végtelen lehetőségek szimbóluma, ugyanakkor a MediaMarkt és a Deep Creative Collective számára is fontos volt, hogy ezt a világot ne mesterséges elemekkel, hanem valódi emberekkel és történetekkel töltsék meg. Éppen ezért az AI-karakter alapját egy valódi, élő személy adja, akinek személyiségjegyeit, stílusát és jelenlétét egy speciális technológiai eljárással alakítják át digitális formává. Az így létrejött karakter egyszerre őrzi meg az eredeti ember hitelességét, miközben új, digitális identitásként működik tovább, külön karakterként, saját vizuális jegyekkel és történeti háttérrel.

„A technológia a MediaMarkt hitvallása szerint óriási lehetőség arra, hogy jobban éljünk, többet tudjunk, és jobban kapcsolódjunk egymáshoz. Szeretnénk ezt a gondolkodást átadni és például a közösségi média segítségével minél több embert inspirálni. Örülök, hogy ebben új partnerünk lett a Deep Creative Collective csapata, akikkel közösen új szintre tudunk lépni ezen a területen” – mondta Szilágyi Gábor, a MediaMarkt Magyarország ügyvezető igazgatója.

A közös munka célja, hogy a MediaMarkt social platformjai ne csupán informáljanak vagy szórakoztassanak, hanem valódi élményeket adjanak – olyan tartalmakat, amelyekre érdemes odafigyelni, amelyek segítenek eligazodni a technológia világában, és amelyekből követőként is lehet építkezni.

„A MediaMarkt szemlélete és víziója rendkívüli módon egyezik a miénkkel. Amikor a social stratégiát készítettük, úgy éreztük, az akár a saját víziónk is lehetne. Izgalmas jövőt látunk magunk előtt, amiben közösen tudjuk kimaxolni a lehetőségeket: mindig az élen járni a technológiai újdonságokban, ugyanakkor sosem felejteni el, hogy a valódi emberi kapcsolatokat semmi sem helyettesítheti” – mondta Szabó Milán, a Deep Creative Collective ügyvezetője.

További friss híreket talál az IoTmagazin főoldalán! Csatlakozzon hozzánk a Facebookon is!