В ходе кампании злоумышленники удаляют данные с серверов MongoDB и требуют выкуп за их восстановление.
Исследователь безопасности Боб Дяченко обнаружил новую вредоносную кампанию Mongo Lock, нацеленную на доступные через интернет незащищенные базы данных MongoDB. Злоумышленники стирают данные и требуют выкуп за их восстановление. Хотя новая кампания получила собственное название,
киберпреступники уже давно взяли себе на вооружение подобный способ заработка.
По словам Дяченко, с помощью сервисов наподобие Shodan злоумышленники ищут незащищенные серверы MongoDB, а затем подключаются к нему, экспортируют базу данных и удаляют ее с сервера. На месте удаленной базы данных создается новая под названием Warning, в которой содержится коллекция с именем Readme. В ней преступники оставляют записку с требованием выкупа за восстановление данных.
В одних случаях в записке указан только электронный адрес для связи со злоумышленниками и получения дальнейших инструкций. В других же содержится еще номер криптовалютного кошелька, куда жертва сначала должна перевести 0,6 биткойна, а уже потом связываться с преступниками по электронной почте. Для получения своих данных обратно необходимо указать в письме IP-адрес сервера и представить доказательства осуществления платежа.
По данным портала Bleeping Computer, на указанный преступниками кошелек уже трижды были переведены деньги на общую сумму 1,8 биткойна.
Как пояснил Дяченко, злоумышленники используют скрипт для автоматизации процессов получения доступа к MongoDB, экспорта базы данных, ее удаления и создания записки с требованием выкупа. В некоторых случаях скрипт не работает должным образом, и данные жертв не удаляются, хотя записка с требованием выкупа все равно создается.
