Анализ вымогателя Benzona: IOC, расшифровка и защита

В ноябре 2025 года появился новый изощренный штамм программы-вымогателя, известный как Benzona, который быстро сделал себе имя, атакуя организации в Европе, Азии и Западной Африке. Действуя по модели «Программы-вымогатели как услуга» (RaaS), Бензона применяет агрессивную тактику двойного вымогательства, угрожая утечкой конфиденциальных данных, если ее требования не будут выполнены.

Этот технический анализ раскрывает цепочку атак Benzona, индикаторы компрометации (IOC) и действенные стратегии защиты для специалистов по безопасности.

Benzona Ransomware Analysis

Цепочка атак Бензоны

Бензона придерживается структурированного жизненного цикла атаки, призванного максимизировать воздействие и затруднить восстановление.

1. Первоначальный доступ и выполнение

Злоумышленники обычно получают доступ через фишинговые кампании, компрометацию учетных данных или использование неисправленных уязвимостей в общедоступных приложениях. Попав внутрь, программа-вымогатель использует:

Внедрение в процессы (T1055): Внедрение вредоносного кода в законные процессы для уклонения от обнаружения.
Интерпретаторы сценариев (T1059): Использование PowerShell для выполнения команд и отключения элементов управления безопасностью.

2. Обход защиты и закрепление

Чтобы сохранить доступ и избежать обнаружения антивирусом, Бензона:

Отключает восстановление: Выполняет команды для удаления теневых копий тома (vssadmin.exe Удалить тени/Все/Тихо) и точек восстановления Windows.
Завершает процессы. Уничтожает защитное программное обеспечение и процессы виртуализации, чтобы предотвратить анализ и гарантировать, что файлы не будут заблокированы во время шифрования.
Изменяет реестр: изменяет ключи реестра, чтобы обеспечить сохранение после перезагрузки.

3. Шифрование и кража данных (двойное вымогательство)

Бензона использует сильные криптографические алгоритмы для блокировки файлов жертвы.

Расширение файла: Зашифрованные файлы добавляются с расширением .бензона (например, financial_report.pdf.бензона).
Кража данных. Перед шифрованием вредоносная программа передает конфиденциальные данные на сервер управления и контроля (C2). Эти украденные данные являются рычагом для второго этапа вымогательства.

4. Записка с требованием выкупа

После завершения шифрования в затронутые каталоги помещается записка с требованием выкупа под названием RECOVERY_INFO.txt. Заметка обычно содержит:

Предупреждение о том, что файлы зашифрованы и данные украдены.
Угроза опубликовать данные, если выкуп не будет выплачен в течение 72 часов.
Инструкции по загрузке браузера Tor и посещению определенного чат-портала .onion для переговоров.

Индикаторы компрометации (IOC)

Командам безопасности следует проверить следующие индикаторы, чтобы обнаружить активность Бензоны.

Индикаторы файлов

Extension: .benzona
Записка о выкупе: RECOVERY_INFO.txt

Сетевые индикаторы

Tor Chat Portal: http://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd.onion/
Leak Site: http://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd.onion

Хэши файлов (SHA-256)

09f7432834ce15e701aa7fcc84a9c2441c1c7e0a9cb66a6211845be73d2597cc
1c895eeb1d6ab9e5268759558c765b93f4c183557cb2c457857b91532ac61982

Стратегии защиты и снижения риска

В настоящее время для программы-вымогателя Benzona нет бесплатного дешифратора. Профилактика и быстрое реагирование — ваша единственная защита.

Неизменяемые резервные копии. Убедитесь, что у вас есть автономные неизменяемые резервные копии. Бензона нацеливается и удаляет онлайн-резервные и теневые копии.
Управление исправлениями. Уделяйте приоритетное внимание обновлению систем с выходом в Интернет, чтобы предотвратить первоначальный доступ.
Сегментация сети. Ограничьте горизонтальное перемещение путем сегментации критически важных сетей.
Обнаружение и реагирование на конечные точки (EDR). Разверните решения EDR, настроенные на блокировку внедрения процессов и массового изменения файлов.
Обучение пользователей. Проведите моделирование фишинга, чтобы научить сотрудников распознавать вредоносные электронные письма.

Хронология реагирования на инцидент: первые 72 часа

Для малого бизнеса без штатного SOC первые часы определяют, окажется ли инцидент локальным эпизодом или полной остановкой компании. Ниже — практический сценарий действий, привязанный к тактике Benzona.

Час 0–1: локализация. Отключите заражённые машины от сети (выньте патч-корд, выключите Wi-Fi), но не обесточивайте серверы: в оперативной памяти остаются ключи шифрования и артефакты вредоносного кода, которые понадобятся при расследовании. Если шифрование ещё идёт, приоритет — остановить процесс шифрования и пресечь горизонтальное распространение, а нюансы фиксации памяти доверить специалистам по реагированию.

Час 1–4: фиксация состояния. Сфотографируйте записку RECOVERY_INFO.txt, сохраните копию и несколько зашифрованных файлов .benzona на заведомо чистой флешке для последующего анализа. Выгрузите журналы Windows: события входов Security (4624–4625, особенно RDP), System, PowerShell (4104). Зафиксируйте время последнего изменения файлов — по нему восстанавливают момент первоначального доступа.

Час 4–24: отсечение коммуникации. С чистой машины смените пароли всех доменных и облачных администраторов, отключите внешние VPN-порты и сервис RDP. Репозиторий резервных копий отсоедините физически или заморозьте снапшоты: атакующие ищут и зачищают бэкапы в первых же действиях, обычно раньше, чем становится заметно само шифрование.

Часы 24–72: решение о восстановлении. К этому моменту ясно, уцелели ли резервные копии. Если да — восстановление проводят цельным снапшотом после форензики, а не по частям: поднятие сервисов на ещё скомпрометированной системе вернёт шифровальщик. Если бэкапов нет, решение о переговорах с атакующими должно быть осознанным и задокументированным — в одиночку и на эмоциях его принимать нельзя.

Проверка резервных копий: что тестировать каждый квартал

Benzona, как и большинство современных штаммов, первым делом ищет и зачищает доступные онлайн-бэкапы: репозитории Veeam и Acronis, сетевые папки с архивами, облачные синхронизации. Отсюда рабочее правило — схема 3-2-1-1-0: три копии, два разных носителя, один офлайн-экземпляр, одна неизменяемая копия и ноль ошибок при тестовом восстановлении. Конкретный минимум для российского малого бизнеса:

Неизменяемость. Снапшоты с object lock (S3) или immutability на NAS, которые нельзя удалить даже под административной учётной записью, храните минимум 7–14 дней — за это время шифрование обнаруживают и останавливают.
Изолированная учётка бэкап-агента. Отдельный пароль с MFA, не совпадающий с доменным. Иначе скомпрометированный администратор одним входом теряет и данные, и копии.
Квартальное тестовое восстановление. Раз в три месяца поднимайте один сервис целиком (1С, файловый сервер, почта) в изолированной среде и фиксируйте фактическое время — это ваш реальный RTO, а не цифра из презентации подрядчика.
Офлайн-копия честно офлайн. Диск, который просто «отключён» в планировщике заданий, шифровальщик успешно переподключает; настоящая офлайн-копия физически не подключена к сети.

Переговоры с атакующими и сохранение доказательств

Если восстановиться из бэкапов не удаётся, а бизнес стоит, контакт через чат-портал .onion допустим — но как управляемый переговорный процесс с точками принятия решений, а не личная переписка. Правила простые:

выделите единственного переговорщика (директор или приглашённый специалист) — остальные сотрудники в переписку не вступают;
ведите протокол: скриншот каждого сообщения, время, согласованные суммы и обещания другой стороны;
не скачивайте «дешифраторы» с форумов и телеграм-каналов — под видом утилит распространяют infostealer'ы и второго удара наносят по уже ослабленной сети;
не переустанавливайте Windows и не форматируйте диски до снятия посекторных образов: это единственное доказательство, которое останется у вас для следствия и страховщика.

Платёж не гарантирует ни рабочий ключ, ни удаление украденных данных — это покупка шанса, а не услуги, и обещаний дешифрации не даёт никто, включая профессиональных переговорщиков.

Правовые обязанности отчётности в России

Помимо технической стороны, у российского бизнеса есть обязанности по закону:

Персональные данные. По ч. 3.1 ст. 21 закона 152-ФЗ оператор обязан уведомить Роскомнадзор об инциденте в течение 24 часов с момента обнаружения и в течение 72 часов передать предварительные результаты внутреннего расследования. Назначьте ответственного заранее — искать исполнителя в два часа ночи во время шифрования поздно.
Субъекты КИИ. Если инфраструктура относится к значимым объектам (187-ФЗ), уведомление в НКЦОИ ФСБ проводится в течение суток.
Киберстрахование. Большинство полисов требуют первичного уведомления страховщика в первые 24–72 часа, иначе покрытие могут снизить. Сохраняйте расходные документы — простой, аренда запасного оборудования, внешняя помощь: это часть страхового случая.
Правоохранительные органы. Обращение в отдел по борьбе с киберпреступлениями ни к чему не обязывает, но к заявлению нужен комплект материалов: образы дисков, IOC из этой статьи, протокол переговоров.

Приоритеты патчинга против Benzona

Первоначальный доступ Benzona строится на уязвимом периметре и украденных паролях, поэтому порядок обновлений не равномерный — очередность выглядит так:

Периметровые шлюзы и удалённый доступ. VPN-устройства (Fortinet, SonicWall, Citrix) и прочие сервисы с публичной CVE-историей обновляйте в первые сутки после выхода исправления: именно их эксплуатирует большинство штаммов, включая Benzona.
RDP и административные учётки. Закройте порт 3389 наружу, включите проверку подлинности NLA, переведите администраторов на выделенные учётные записи с MFA и запретите повторное использование паролей.
Почта и бизнес-приложения. Почтовые серверы, 1С-битрикс, WordPress и прочие CMS обновляйте сразу после релиза: рабочие эксплойты для них появляются в открытом доступе за считаные часы.
Рабочие станции и офисный софт. Обновления Windows, браузеров и Microsoft Office — в рамках стандартного цикла, но без исключений «этот старый станок не трогаем»: через «исключения» обычно и заходит фишинг.
Отключаемое по умолчанию. Макросы Office выключены, для офисных пользователей работает ограничение PowerShell (Constrained Language Mode), сторонние архиваторы и принтерная инфраструктура обновляются хотя бы раз в квартал.

Заключение

Бензона представляет собой продолжающуюся эволюцию угроз RaaS в конце 2025 года. Использование им методов двойного вымогательства и предотвращения восстановления делает его грозным противником. Организации должны перейти от реактивной позиции к активному менталитету «предполагать нарушение», сосредоточив внимание на устойчивости и быстром восстановлении.

Если вас ударил Бензона, не платите выкуп сразу. Свяжитесь с профессиональной командой реагирования на инциденты, чтобы оценить возможные варианты.