Ransomware VECT 2.0 niszczy pliki zamiast je szyfrować. Ofiary tracą dane bezpowrotnie

Badacze z firmy Check Point odkryli poważną wadę w działaniu ransomware VECT 2.0, która powoduje, że zamiast szyfrować pliki ofiar, program je nieodwracalnie niszczy. Problem dotyczy wszystkich plików większych niż 128 KB – a więc praktycznie wszystkich istotnych dokumentów firmowych, baz danych, kopii zapasowych i dysków maszyn wirtualnych.

Partnerstwo z grupą atakującą łańcuch dostaw

VECT 2.0 był reklamowany na forum BreachForums jako ransomware-as-a-service, oferujący współpracę dla afiliantów. Operatorzy ogłosili partnerstwo z TeamPCP – grupą odpowiedzialną za niedawne ataki na łańcuch dostaw, które dotknęły narzędzi Trivy, LiteLLM i Telnyx, a także Komisję Europejską. Celem było wykorzystanie ofiar tych kompromitacji do wdrażania ransomware oraz przeprowadzania kolejnych ataków na organizacje.

Według badaczy Check Point, VECT 2.0 istnieje w wariantach dla systemów Windows, Linux oraz ESXi, a wszystkie zawierają ten sam krytyczny błąd.

Jak działa wada w szyfrowaniu

Problem tkwi w sposobie obsługi nonces – unikalnych wartości kryptograficznych niezbędnych do odszyfrowania danych. Ransomware dzieli większe pliki na cztery części i szyfruje każdą z nich osobno, aby przyspieszyć proces. Wszystkie operacje używają jednak tego samego bufora pamięci do przechowywania nonce’ów.

W rezultacie każdy nowy nonce nadpisuje poprzedni. Po zakończeniu szyfrowania w pamięci pozostaje tylko ostatni nonce – odpowiadający ostatniej, czwartej części pliku. Trzy pierwsze nonce’y zostają bezpowrotnie utracone. Możliwe jest odzyskanie jedynie ostatnich 25% zawartości pliku, podczas gdy pozostałe 75% danych nie da się odszyfrować.

Co gorsza, utracone nonce’y nie są przesyłane do operatorów ransomware. Nawet gdyby ofiara zapłaciła okup, atakujący nie byliby w stanie odtworzyć pełnej zawartości plików.

Praktyczne konsekwencje dla ofiar

Check Point podkreśla, że próg 128 KB jest wyjątkowo niski. Większość wartościowych plików firmowych przekracza tę wielkość: dyski maszyn wirtualnych, pliki baz danych, kopie zapasowe, a nawet typowe dokumenty biurowe, arkusze kalkulacyjne czy skrzynki pocztowe. W praktyce VECT 2.0 działa bardziej jak wiper – narzędzie do niszczenia danych – niż tradycyjne ransomware.

Dla organizacji dotkniętych atakiem konsekwencje mogą być katastrofalne. Utrata dostępu do baz danych, systemów backupowych czy środowisk wirtualizacyjnych może sparaliżować działalność na długi czas, a brak możliwości odzyskania danych czyni zapłatę okupu całkowicie bezcelową.

Co można zrobić

Ponieważ VECT 2.0 nie pozwala na odzyskanie danych nawet po zapłacie, jedynym skutecznym zabezpieczeniem są regularne, izolowane kopie zapasowe przechowywane poza zasięgiem ransomware. Organizacje powinny wdrożyć strategię 3-2-1: trzy kopie danych, na dwóch różnych nośnikach, z jedną kopią offline lub w chmurze z immutable storage.

Należy również monitorować aktywność sieciową pod kątem oznak kompromitacji związanej z grupą TeamPCP oraz weryfikować integralność łańcucha dostaw oprogramowania używanego w firmie. Segmentacja sieci i ograniczenie uprawnień mogą zmniejszyć zasięg potencjalnego ataku.