Шифровальщик Nova пытается отключить средства защиты Windows
Nova, финансово мотивированная операция по предоставлению программ-вымогателей как услуги, впервые появилась под именем RALord в марте 2025 года и сменила название на Nova в апреле. Группа привлекает аффилированных лиц, предоставляет им инструменты для шифрования и угрожает жертвам публикацией украденных данных. Сайт утечек Nova перечислял 177 организаций в 45 странах и 10 отраслях за период с апреля 2025 года по июль 2026 года. Заявления о прежнем участии участников Nova в других группах программ-вымогателей и контактах с RA World не подтверждены. Имеющиеся сведения также не подтверждают общего членства, инфраструктуры или кода Nova и RA World, а заявления о происхождении шифровальщика Nova на базе Rust из утёкшего исходного кода Babuk не подтвердились.
Цели и требования к аффилированным лицам
Технологический и производственный секторы составляли около 45% заявленных жертв, государственные органы и оборонная промышленность составляли 5,6%. Nova широко описывает уязвимые организации как потенциальные цели. В рекламных материалах группа предлагала аффилированным лицам отдельные условия сотрудничества, а также продавала инструменты шифрования и украденные данные.
Перед развёртыванием программы-вымогателя аффилированные лица должны обеспечить подтверждённый сетевой доступ и извлечь конфиденциальные данные. Описание деятельности не задаёт единого метода первоначального доступа или конкретных инструментов и протоколов для эксфильтрации.
Обход защиты и шифрование файлов
Анализ более поздней сборки для Windows выявил действия, направленные на обход защиты. ВПО использует PowerShell, изменяет реестр и манипулирует службами. Оно пытается отключить средства защиты Microsoft Defender и добавить исключения для сканирования всех дисков, останавливает службы информационной безопасности, завершает процессы, связанные с антивирусными продуктами и средствами обнаружения и реагирования на конечных точках (EDR), а также очищает журналы событий Windows.
Для перечисления логических дисков сборка использует Инструментарий управления Windows (WMI). Утилиты vssadmin и wmic применяются для удаления теневых копий томов, что препятствует восстановлению системы (T1490).
В более поздней проанализированной сборке на Rust файлы шифруются с помощью XChaCha20-Poly1305, а ключи шифрования защищаются с использованием RSA-2048. Сборка добавляет файлам расширение .xgWLckNV и создаёт файл с требованием выкупа README_NOVA.me.
Более ранний образец RALord добавлял расширение .ralord, создавал файл README со случайным суффиксом и предлагал жертвам вести переговоры через qTox. Этот образец также пытался зашифровать собственный исполняемый файл. Перечисленные особенности относятся к конкретным образцам.
Nova заявляет о наличии вариантов для Linux и блокировки загрузки. Сторонние отчёты описывают полезные нагрузки для ESXi. В некоторых случаях вторжений также применялись bcdedit и программы удалённого доступа, включая AnyDesk, PuTTY и LogMeIn.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
