Шифровальщик OROVA нацелен на Linux-системы и виртуальные машины
Операция OROVA стала публично известна в августе 2026 года. По сопоставленным телеметрическим данным, её активность могла начаться 3 мая. К 31 августа группа заявила о 45 жертвах в шести странах, преимущественно в США, Гонконге и Тайване. Чаще всего о компрометации сообщали организации из производственного сектора и сферы здравоохранения.
OROVA описывает себя как операцию по модели «программа-вымогатель как услуга» (Ransomware-as-a-Service, RaaS). Группа использует сайт утечек в сети Tor и отдельный портал для переговоров с каждой жертвой. Ещё на одной странице перечислены организации, чьи пароли сотрудников, по имеющимся данным, скомпрометировали.
Наиболее весомый зафиксированный признак первоначального доступа указывает на использование легитимных учётных данных. По сообщениям, несколько названных жертв попали в наборы данных стиллеров с учётными данными ещё до появления в списке OROVA. Однако эта корреляция не подтверждает, каким способом получили доступ к системам. Публичных подтверждений фишинговых кампаний или эксплуатации уязвимостей нет.
После проникновения операторы, по сообщениям, анализируют сетевой трафик, чтобы выявлять хосты, учётные данные и доступные сервисы. Для перемещения внутри организаций они используют легитимные сервисы, в том числе RDP и SMB. Кража данных, по имеющимся сведениям, происходит до шифрования. Управление ведётся через стандартные веб-протоколы. Конкретные инструменты для вывода данных и способы их промежуточного хранения не установлены.
По имеющимся данным, шифровальщик атакует системы Linux и VMware ESXi. Параметр -killvm позволяет завершать работу виртуальных машин с помощью командной строки ESXi. Шифровальщик рекурсивно и в несколько потоков обходит файлы, пропускает некоторые системные пути и расширения и применяет шифрование ChaCha20/Curve25519. Зашифрованные файлы получают расширение .orova и маркер OROVAENCRYPTEDL. Среди других задокументированных действий, по сообщениям, нарушение работы средств защиты, удаление теневых копий или резервных копий и настройка автозапуска при загрузке системы или входе пользователя. Технические оценки остаются предварительными, так как публичный анализ вредоносного ПО ограничен.
OROVA требует, чтобы пострадавшие связались с группой в течение 72 часов через портал в сети Tor и использовали код из записки с требованием выкупа. Группа угрожает опубликовать украденные данные и отдельно размещает сведения об организациях, связанных с недавно скомпрометированными паролями сотрудников.
Авторы отчёта рекомендуют внедрить устойчивую к фишингу многофакторную аутентификацию для удалённого доступа, проверить учётные данные на предмет утечек через стиллеры, а также расследовать вмешательство в работу средств защиты, удаление механизмов восстановления и необычный исходящий веб-трафик. Подозрительную активность они рекомендуют рассматривать как потенциальный инцидент кражи данных, даже если шифрования не было.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
