Lockbit оказался самым быстрым вирусом-шифровальщиком — почти 25 тысяч файлов в минуту

Аналитики специализирующейся на обработке данных компании Splunk провели исследование скорости работы наиболее распространённых программ-вымогателей. Рекордсменом оказался алгоритм Lockbit, шифрующий чуть менее 25 000 файлов за минуту.

В качестве подопытных были взяты образцы нескольких семейств программ-вымогателей, включая Lockbit, Conti и Revil. Эффективность вредоносов заметно варьировалась, однако медианный показатель по шифрованию около 100 000 файлов общим объёмом 53,93 Гбайт составил 42 минуты и 52 секунды. Алгоритм Lockbit оказался самым быстрым — на 86 % быстрее медианного показателя; наиболее эффективный образец программы менее чем за минуту зашифровал почти 25 000 файлов. Авторы проекта уверены, что результаты исследования представляют не только статистический интерес — данные можно будет использовать для оптимизации защиты от шифровальщиков. Компания пообещала опубликовать доклад в специальном разделе своего сайта.

В рамках исследования специалисты выбрали 10 наиболее распространённых семейств вымогателей, и в каждом из них взяли 10 экземпляров бинарных файлов. В качестве испытательной площадки были выбраны частные пространства на Amazon Web Services, где все образцы вредоносов запускались на четырёх хостах: двух под управлением Windows 10 и двух под Windows Server 2019. Вся телеметрия по производительности транслировалась на центральный инстанс для последующего анализа.

Семейства вымогателей выбирались из базы VirusTotal на основе их распространённости за последние два года. «Финалистами» стали LockBit, Babuk, Avaddon, Ryuk, REvil, BlackMatter, Darkside, Conti, Maze и Mespinoza. Медианное время работы вымогателей семейства LockBit оказалось наименьшим среди всех — оно составило 5 минут и 5 секунд. Примечательно, что это время практически не зависело от конфигурации виртуальной машины. Результат оказался закономерным, поскольку вредоносы семейства LockBit шифруют только 4 кбайт каждого файла, нарушая целостность данных, а затем переходят к следующему, тогда как остальные представители этого «зоопарка» шифруют файлы целиком, и это предсказуемо занимает больше времени. Самым медленным оказалось семейство Mespinoza с медианным результатом чуть менее 2 часов.