ESET saugumo ekspertai nustatė, kad Kijevo metro informacinę sistemą pažeidė kenkėjas „Diskcoder.D“, naujas išpirkos reikalaujančio viruso „Petya“ variantas. Daugiausiai šio kenkėjo atakų nustatyta Rusijoje (65 proc. atvejų) ir Ukrainoje (12,2 proc.), tarp kitų atakuojamų šalių yra Bulgarija (10,2 proc.) ir Turkija (6,4 proc.), rašoma pranešime spaudai.
Įdomu tai, kad visos didžiosios organizacijos patyrė ataką tuo pačiu metu. Saugumo ekspertai daro prielaidą, kad už ataką atsakingų programišių grupė jau buvo įsilaužusi į pažeistas sistemas prieš paleidžiant vadinamąją „watering hole“ ataką.
Preliminariais duomenimis „Diskcoder.D“ naudoja „Mimikatz“ įrankius, kad išgautų prisijungimo duomenis prie atakuojamų sistemų. Kenkėjas bando prisijungti su turimu vartotojų vardų ir slaptažodžių sąrašu: Administrator - Administrator, Admin - administrator, Guest - Guest, User - guest, Test - Admin ir t.t.
Taip pat „Bad Rabbit“ platinamas per pažeistas populiarias svetaines – jose įterptas kenksmingas „JavaScript“.
Sąrašas užkrėstų svetainių, kuriose plinta „Bad Rabbit“ (dėl vartotojų saugumo nuorodos yra redaguotos):
- hxxp://argumentiru[.]com
- hxxp://www.fontanka[.]ru
- hxxp://grupovo[.]bg
- hxxp://www.sinematurk[.]com
- hxxp://www.aica.co[.]jp
- hxxp://spbvoditel[.]ru
- hxxp://argumenti[.]ru
- hxxp://www.mediaport[.]ua
- hxxp://blog.fontanka[.]ru
- hxxp://an-crimea[.]ru
- hxxp://www.t.ks[.]ua
- hxxp://most-dnepr[.]info
- hxxp://osvitaportal.com[.]ua
- hxxp://www.otbrana[.]com
- hxxp://calendar.fontanka[.]ru
- hxxp://www.grupovo[.]bg
- hxxp://www.pensionhotel[.]cz
- hxxp://www.online812[.]ru
- hxxp://www.imer[.]ro
- hxxp://novayagazeta.spb[.]ru
- hxxp://i24.com[.]ua
- hxxp://bg.pensionhotel[.]com
- hxxp://ankerch-crimea[.]ru
