Набор эксплоитов RIG занялся распространением шифровальщика Eris

Хотя в целом ИБ-эксперты уже давно говорят о снижении активности наборов эксплоитов, многие из них по-прежнему остаются «в строю», продолжают совершенствоваться и менять полезную нагрузку. Один из таких давно известных исследователям игроков — эксплоит-кит RIG.

Недавно специалисты обратили внимание, что RIG начал распространять шифровальщика Eris, впервые замеченного в мае 2019 года. Первым вымогателя обнаружил исследователь Майкл Гиллеспи (Michael Gillespie), когда малварь засветилась на ID Ransomware. Вымогатель шифрует файлы своих жертв, изменяя их расширения на .ERIS

Теперь независимый ИБ-специалист, известный под псевдонимом nao_sec, заметил, что в новой кампании RIG в качестве полезной нагрузки используется именно Eris.

По данным исследователя, для распространения шифровальщика используется рекламная сеть popcash и вредоносная реклама, с помощью которой пользователей перенаправляют на ресурсы, где размещен RIG.

В данной кампании набор эксплоитов в основном полагается на использование уязвимости  в Shockwave (SWF), и если атака удалась, заражает машину жертвы вымогателем Eris. Исследователи отмечают, что способа расшифровать пострадавшие от Eris файлы, не выплачивая злоумышленникам выкуп, увы, пока нет.

Хакер