Вирус Alpha: новый игрок или старый вымогатель, восставший из пепла?

[Artifact]

Группа Netwalker пропала с радаров еще в 2021 году, но исследователи заметили подозрительные сходства, изучая другое ПО.
Эксперты обнаружили тревожные связи между появившимся недавно вирусом-вымогателем Alpha и преступной группировкой Netwalker, которая была ликвидирована несколько лет назад. Что это может значить?
Netwalker действовала с октября 2019 по январь 2021 года, предоставляя свое ПО другим злоумышленникам по принципу «вымогательство как услуга» (ransomware-as-a-service, RaaS). После того, как правоохранительные органы заблокировали сайты группировки в даркнете, операторы Netwalker прекратили свою противозаконную деятельность и пропали с радаров.
Вирус Alpha впервые появился в феврале 2023 года, но первое время действовал скрытно, не рекламируя себя на хакерских форумах и не проводя масштабных атак. Спустя время злоумышленники создали сайт, на котором стали выкладывать украденные данные компаний и требовать за них выкуп.
Сейчас на сайте Alpha опубликована информация о 9 кибератаках, причём в 8 случаях уже выложены похищенные сведения. Согласно отчёту компании Neterich от 29 января, вирус совершенствовался постепенно. В последней версии он добавляет к зашифрованным файлам случайное 8-значное буквенно-цифровое расширение.
Требования о выкупе теперь включают инструкции для связи с киберпреступниками. Суммы, по данным Neterich, варьируются от 13 200 до 100 000 долларов в зависимости от объема выручки атакованной организации.
Symantec установили связь вируса Alpha с преступной деятельностью Netwalker в своем недавнем отчете . Эта связь прослеживается в используемых новой группой инструментах и методах кибератак.
Основные сходства:

• Использование похожих загрузчиков на основе PowerShell для незаметной доставки вируса.

• Совпадение структуры и фрагментов кода, особенно в функциях шифрования файлов, отключения процессов и служб, вызова системных API.

• Схожая конфигурация правил исключения файлов, папок, процессов и служб из процедуры шифрования.

• Вредоносная программа автоматически удаляется после завершения шифрования с использованием специальных временных бат-файлов.

• На платёжных страницах о необходимости ввода пользовательского кода размещено идентичное сообщение.

• Кроме того, в последних атаках Alpha активно использовал встроенные инструменты Windows, что характерно для многих хакерских групп.

Таким образом, у исследователей немало оснований полагать, что разработчики Netwalker и Alpha тесно связаны. Либо Alpha – это ребрендинг Netwalker, либо их код используется новой группой киберпреступников. По мнению экспертов Symantec, кто-то мог незаконно заполучить код Netwalker и адаптировать его для своих целей.
Несмотря на то, что на данный момент Alpha не является основным игроком на рынке вирусов-вымогателей, аналитики оценивают потенциал этой новой киберугрозы как весьма высокий и быстрорастущий.