Жертвам программы-вымогателя Vect не следует даже задумываться о переговорах со злоумышленниками о возможной выплате выкупа. Как выяснили специалисты по безопасности из Check Point Research (открывается в новом окне), в версии 2.0, доступной с февраля, у этого вымогателя есть ошибка, которая в любом случае делает восстановление многих важных файлов невозможным.
Согласно сообщению, под удар попадают системы на базе Windows, Linux и VMware ESXi. По данным Check Point, все разработанные для них варианты Vect используют один и тот же алгоритм шифрования. Однако для файлов размером от 128 Кбайт этот алгоритм работает некорректно, в результате чего вымогатель фактически уничтожает их.
Чтобы ускорить шифрование, Vect 2.0 делит большие файлы на четыре части и шифрует их, используя четыре различных 12-байтовых значения Nonce. Однако, по словам исследователей, после использования все эти значения записываются по одному и тому же адресу в буфере, так что первые три значения Nonce перезаписываются, и остается только последнее.
От программы-вымогателя к вайперу
Таким образом, три из четырех частей зашифрованных файлов размером 128 Кбайт и более никогда не смогут быть расшифрованы. «Первые три Nonce, необходимые для расшифровки соответствующих блоков, генерируются, используются и молча отбрасываются. Они никогда не сохраняются на диске или в реестре и не передаются операторам», — пишут исследователи.
Тем самым Vect 2.0 практически превращается в вайпер — то есть вредоносную программу, предназначенную исключительно для удаления данных, — для почти любого файла, содержащего важную информацию, такого как диски виртуальных машин, базы данных, файлы резервных копий или крупные документы. Переговоры о выкупе, таким образом, становятся бессмысленными. Даже если бы захотели, злоумышленники не смогли бы полностью восстановить данные.
Аналогичные сбои в работе программ-вымогателей
Это не первое подобное открытие. За последние месяцы ошибки были обнаружены и в вариантах программ-вымогателей Sicarii и Nitrogen, которые приводят к неожиданной потере данных и, следовательно, делают любые переговоры о выкупе со злоумышленниками бессмысленными.
Vect — это программа-вымогатель, работающая по модели Ransomware-as-a-Service (RaaS) с декабря 2025 года. Таким образом, этот вымогатель может использоваться различными киберзлоумышленниками. Еще в марте операторы объявили о сотрудничестве с TeamPCP — печально известной хакерской группой, которую в последнее время связывали с несколькими атаками на цепочки поставок известных программных проектов.