Un nou virus informatic atacă în același timp Windows și serverele virtuale

O nouă familie de ransomware numită Kyber începe să atragă atenția în lumea securității informatice după ce cercetătorii de la Rapid7 au analizat două variante diferite folosite în același incident: una pentru servere Windows, cealaltă pentru infrastructuri VMware ESXi. Ce face povestea și mai interesantă este faptul că varianta pentru Windows folosește într-adevăr Kyber1024, un algoritm din zona criptografiei post-quantum, adică un tip de protecție gândit pentru o eră în care calculatoarele cuantice ar putea sparge mai ușor metodele clasice de criptare.

La prima vedere, asta sună ca un salt tehnologic serios pentru infractorii cibernetici. În realitate, lucrurile sunt ceva mai nuanțate. Rapid7 spune clar că doar varianta de Windows respectă promisiunea din mesajul de șantaj privind folosirea Kyber1024. Varianta pentru Linux și ESXi se laudă și ea cu aceeași tehnologie, dar în practică folosește alte metode: ChaCha8 pentru criptarea fișierelor și RSA-4096 pentru protejarea cheilor. Cu alte cuvinte, atacatorii folosesc inclusiv marketing tehnologic în propriile note de răscumpărare.

Chiar și așa, apariția acestui ransomware este importantă pentru că arată direcția în care evoluează astfel de atacuri, scrie presa străină de specialitate. Nu mai este vorba doar despre blocarea fișierelor pe un singur tip de sistem, ci despre campanii gândite să lovească în paralel mai multe zone critice ale unei companii, astfel încât impactul să fie total. Ambele mostre analizate aveau același ID de campanie și aceeași infrastructură Tor pentru negociere, semn că au fost lansate coordonat de același afiliat ransomware.

De ce Kyber este mai periculos decât pare la prima vedere

Pericolul real nu stă doar în cuvântul „post-quantum”, ci în modul în care atacul este construit. Varianta pentru ESXi este special făcută pentru mediile VMware: inventariază mașinile virtuale, criptează fișierele din datastore, poate opri opțional mașinile virtuale și chiar modifică interfețele de administrare pentru a afișa mesajele de răscumpărare. Asta înseamnă că ținta nu este un singur calculator, ci chiar coloana vertebrală a infrastructurii IT a unei organizații.

Vezi și:

Alertă meteo de furtuni în București și alte 12 județe până la ora 23:00. Sunt așteptate vijelii, grindină și ploi torențiale

În paralel, varianta pentru Windows, scrisă în Rust, vine cu o suită mult mai matură de funcții distructive. Poate șterge shadow copies, dezactiva mecanismele de recovery la boot, opri servicii precum SQL, Exchange și soluții de backup, goli Recycle Bin și șterge logurile de evenimente. Mai include și o funcție descrisă drept „experimentală” pentru oprirea mașinilor virtuale Hyper-V. Cu alte cuvinte, nu se rezumă la criptarea datelor, ci încearcă să taie aproape toate drumurile de recuperare.

Această combinație între lovitura în virtualizare și lovitura în serverele Windows explică de ce cercetătorii vorbesc despre risc de blocaj operațional complet. Dacă ataci simultan platforma de virtualizare și file serverele, compania lovită poate rămâne fără acces la date, fără sisteme virtuale și fără opțiuni rapide de restaurare. Exact asta pare să fi urmărit operatorul Kyber în incidentul analizat.

Ce înseamnă, de fapt, „post-quantum” în acest caz

Partea cea mai spectaculoasă din titluri este folosirea Kyber1024, însă aici e importantă o precizare. În varianta de Windows, Kyber1024 nu criptează direct fișierele. Rolul său este să protejeze materialul criptografic folosit pentru cheia simetrică, în timp ce criptarea masivă a datelor este făcută cu AES-256-CTR, alături de X25519 pentru protecția cheilor. Asta face atacul interesant din punct de vedere tehnic, dar nu schimbă concluzia pentru victimă: fără cheia privată a atacatorului, fișierele rămân practic imposibil de recuperat.

Vezi și:

Atacul AI care a pus Google în alertă: prima mare demonstrație că hackerii pot găsi breșe zero-day cu inteligența artificială

Cum încearcă hackerii ruși să preia conturi de WhatsApp printr-o metodă absurd de simplă

Altfel spus, nu faptul că este „post-quantum” face ransomware-ul mai devastator în mod direct pentru organizația atacată. Fie că atacatorul folosește RSA, fie că folosește Kyber1024, rezultatul imediat este același: sistemele sunt blocate, operațiunile sunt întrerupte, iar presiunea pentru plată crește. Noutatea stă mai degrabă în semnalul transmis: grupările ransomware încep să experimenteze cu criptografie din noua generație, inclusiv ca element de diferențiere și intimidare.

Kyber nu pare încă una dintre cele mai mari operațiuni de pe piața ransomware, însă semnele arată că nu este un actor banal. Gruparea este activă de mai multe luni, iar analizele din industria de securitate indică faptul că a listat deja cel puțin o victimă importantă, un contractor american major din zona de apărare și servicii IT. Faptul că operatorii combină atacuri pe Windows și ESXi, plus tactici agresive de ștergere a urmelor și sabotare a recuperării, îi face mult mai periculoși decât ar sugera notorietatea lor actuală.

Pe scurt, Kyber este important nu doar pentru că folosește un termen la modă din criptografie, ci pentru că arată cum ar putea arăta următoarea etapă a ransomware-ului: atacuri coordonate pe mai multe platforme, tehnologii tot mai sofisticate și un accent tot mai mare pe paralizarea completă a infrastructurii victimei. Pentru companii, lecția nu este despre fizica cuantică, ci despre ceva mult mai simplu: dacă nu ai segmentare, backup-uri protejate și răspuns rapid la incidente, atacatorii nu mai au nevoie de magie ca să te lase fără operațiuni.

Samsung lansează noua serie WindFree Première: senzori AI, distribuție inteligentă a aerului și integrare SmartThings