Разработчики
ransomware Zeppelin возобновили свою активность и представили хакерской аудитории новые образцы вредоносного ПО после длительного затишья.
Обновление ПО вышло 26 апреля.
Zeppelin написан на Delphi, базируется на коде малвари
VegaLocker и начал
применяться русскоязычными хакерами с начала ноября 2019 в атаках на технологические и медицинские компании в Европе и Северной Америке. Вопреки другим вариантам малвари из семейства
Vega, также известного как
VegaLocker и Buran, ориентированных именно на русскоязычных пользователей, разработчики
Zeppelin четко определились, что вредонос не будет работать на машинах в России, Украине и странах СНГ, включая Казахстан и Белоруссию.
Но интересно другое. Маркетинговая модель
Zeppelin имеет свои уникальные особенности, это - одна из немногих на рынке программ-вымогателей, не использующих чистую модель
RaaS. Разработчики вымогателя
Zeppelin продают его в даркнете в коробочном исполнении по цене
2300 долларов за сборку ядра, предоставляя будущим владельцам полную самостоятельность в применении ПО. При этом вместо кооперации при проведении атак разработчики
Zeppelin предпочитают выстраивать индивидуальные партнерские отношения с пользователями их вредоносных программ, предоставляя им расширенный адаптивный набор функций.
Кроме того,
Zeppelin не крадет и не публикует похищенные данные, операторы
ransomware фокусируются, прежде всего, на их шифровании. Пользователи ПО - это индивидуальные покупатели, которые не усложняют свои атаки и полагаются на общие исходные векторы атак, такие как
RDP, уязвимости
VPN и фишинг. Однако несмотря на всю простоту модели атаки с этим штаммом
ransomware трудно обнаружить, особенно при использовании новых загрузчиков.
Полагаем, что сумевшие скомпилировать собственный код программы-вымогателя над базе наработаток
Vega создатели
Zeppelin, предоставляющие достаточно широкий доступ к продукту своим операторам, сами рискуют стать жертвами копипаста, или ещё хуже - предстать к ответу за последствия возможных резонансных инцидентов.