Ransomware „Snatch” potrafi wyłączyć ochronę na komputerze i skutecznie zaszyfrować pliki

Specjaliści cyberbezpieczeństwa z firmy SophosLabs wykryli oraz opisali nowy wariant znanego już ransomware o nazwie Snatch. Nowa technika polega na wymuszeniu ponownego uruchomienia zainfekowanego komputera z systemem Windows w trybie awaryjnym (Safe Mode), i dopiero wtedy zaszyfrowanie plików ofiary.
Taki zabieg pozwala na uniknięcie wykrycia przez większość tradycyjnego oprogramowania antywirusowego, ponieważ w trybie awaryjnym system operacyjny uruchamia się z minimalnym zestawem sterowników i programów firm trzecich. Istnieje więc duża szansa, że w Safe Mode procesy odpowiedzialne za ochronę systemu pod kątem malware nie wystartują.
Ransomware Snatch infekuje systemy co najmniej od lipca 2018 roku, ale sprytna metoda restartu systemu i uruchamiania go w trybie awaryjnym widoczna jest od niedawna, w kilku ostatnich atakach.

Snatch rejestruje się w systemie jako usługa o nazwie SuperBackupMan, która w rejestrze posiada zapamiętaną opcje uruchamiania podczas rozruchu systemu w trybie awaryjnym. Gdy komputer wraca do pracy po ponownym uruchomieniu, złośliwe oprogramowanie używa komponentu vssadmin.exe do usunięcia wszystkich kopii woluminów wykonywanych w tle (Volume Shadow Copies), w celu uniknięcia możliwości odzyskiwania zaszyfrowanych plików i analizy sądowej po udanym ataku.
Ransomware napisany jest w mało popularnym języku Go i zaprojektowany do działania na wszystkich wersjach systemu Windows od 7, zarówno 32 jak i 64 bitowych.

Z danych firmy Coveware, specjalizującej się w negocjacjach dotyczących wymuszeń płatności za odszyfrowanie danych wiemy, że udanych ataków Snatch w okresie od lipca do października tego roku było przynajmniej 12, a okup wahał się między 2000, a 35 000 dolarów.

Zaplanowane kampanie z wykorzystaniem ransomware Snatch wykorzystują wiele popularnych narzędzi penetracyjnych, takich jak PsExec, Advanced Port Scanner, Process Hacker, PowerTool czy IObit, głównie w celu rozprzestrzenienia się w sieci organizacji oraz kompromitacji nowych maszyn. Malware ten nie działa w pełni automatycznie i zawsze kontrolowany jest zdalnie przez atakującego.

Popularne

Uwaga! Trwa praktyczne wykorzystywanie krytycznej luki w systemach Fortinet!

Święta, święta i po świętach. I dzisiaj, zamiast malować pisanki, piszemy o Fortinecie. Naszym „ulubionym” producencie firewallów, który pojawia się na portalu dość często. Nową okazję do publikacji dała...

3 min czytania 7 kwi 2026 08:23

Grupa ransomware ALP-001 twierdzi, że zaatakowała Polsat

W niedzielę wieczorem na zagranicznych serwisach newsowych poświęconych malware pojawiły się informacje o cyberataku na serwis Polsatu. Według doniesień za incydent odpowiada grupa ransomware ALP-001, która...

5 min czytania 31 mar 2026 06:15

DarkSword – cichy zabójca iPhone’ów. Nowy exploit, który przejmuje kontrolę nad urządzeniem w kilka sekund

Powstał nowy, zaawansowany zestaw exploitów wymierzony w użytkowników iPhone’ów. Narzędzie o nazwie DarkSword pokazuje, że nawet platformy uznawane za jedne z najbezpieczniejszych mogą stać się celem...

5 min czytania 20 mar 2026 06:43

Jak zmienić nieznane/zapomniane hasło Administratora na Windows?

W tym artykule pokażemy, jak możemy zmienić hasło administratora na komputerze posiadając do niego fizyczny dostęp. Artykuł ten można potraktować także jako przestrogę dla firm, które nie zaimplementowały jeszcze odpo...

5 min czytania 5 cze 2019 08:00

WhatsApp jako wektor ataku – Microsoft ostrzega przed nową kampanią malware ukrytą w wiadomościach

Cyberprzestępcy po raz kolejny wykorzystują zaufanie użytkowników do popularnych komunikatorów. Najnowsze ostrzeżenie Microsoftu ujawnia zaawansowaną kampanię, w której złośliwe oprogramowanie jest rozsy...

5 min czytania 3 kwi 2026 08:32