{"id":69513,"date":"2020-02-20T06:38:30","date_gmt":"2020-02-20T03:38:30","guid":{"rendered":"https:\/\/prohoster.info\/blog\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen"},"modified":"2020-03-03T16:14:51","modified_gmt":"2020-03-03T13:14:51","slug":"vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","title":{"rendered":"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware \"SaveTheQueen\"","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/3b555cf5fad7a1472b9db7a26a736f57.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n <br \/>\nEn ny typ av skadlig programvara av ransomware-typ krypterar filer och l\u00e4gger till filnamnstill\u00e4gget \".SaveTheQueen\", och sprider sig genom systemn\u00e4tverksmappen SYSVOL p\u00e5 Active Directory-dom\u00e4nkontrollerna.<\/p>\n<p>V\u00e5ra kunder har st\u00f6tt p\u00e5 denna skadliga programvara nyligen. H\u00e4r \u00e4r v\u00e5r fullst\u00e4ndiga analys, resultaten och slutsatserna.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h2>\n<h2>Uppt\u00e4ckte<\/h2>\n<\/h2>\n<p>\nEn av v\u00e5ra kunder kontaktade oss efter att ha st\u00f6tt p\u00e5 en ny typ av ransomware-krypterare som lade till filnamnstill\u00e4gget \".SaveTheQueen\" till de nya krypterade filerna i deras milj\u00f6.<\/p>\n<p>Under v\u00e5r utredning, specifikt i s\u00f6kandet efter infektionsk\u00e4llor, uppt\u00e4ckte vi att spridningen och sp\u00e5rningen av infekterade offer skedde genom anv\u00e4ndning av <strong>n\u00e4tverksmappen SYSVOL <\/strong> p\u00e5 kundens dom\u00e4nkontroller.<\/p>\n<p>SYSVOL \u00e4r en nyckelmapp f\u00f6r varje dom\u00e4nkontroller, som anv\u00e4nds f\u00f6r att leverera GPO-objekt (gruppolicydokument) och inloggnings- och utloggningsskript till dom\u00e4nens datorer. Inneh\u00e5llet i denna mapp replikeras mellan dom\u00e4nkontroller f\u00f6r att synkronisera dessa data p\u00e5 organisationens platser. Att skriva till SYSVOL kr\u00e4ver h\u00f6g dom\u00e4nprivilegier, men efter kompromiss kan denna resurs bli ett kraftfullt verktyg f\u00f6r angripare som kan anv\u00e4nda den f\u00f6r att snabbt och effektivt sprida skadlig kod inom dom\u00e4nen.<\/p>\n<p>Varonis revisionskedja hj\u00e4lpte snabbt att identifiera f\u00f6ljande:<\/p>\n<ul>\n<li> Den infekterade anv\u00e4ndarkontot skapade en fil med namnet \"hourly\" i SYSVOL<\/li>\n<li> M\u00e5nga loggfiler skapades i SYSVOL \u2014 varje ben\u00e4mnd efter dom\u00e4nens enhet<\/li>\n<li>M\u00e5nga olika IP-adresser hade \u00e5tkomst till filen \"hourly\"<\/li>\n<\/ul>\n<p>\nVi drog slutsatsen att loggfilerna anv\u00e4ndes f\u00f6r att sp\u00e5ra infekteringsprocessen p\u00e5 nya enheter, och att \"hourly\" \u00e4r ett schemalagt jobb som k\u00f6rde den skadliga koden p\u00e5 nya enheter med hj\u00e4lp av Powershell-skript \u2013 prover \"v3\" och \"v4\".<\/p>\n<p>Det verkar som att angriparen f\u00e5tt och anv\u00e4nt dom\u00e4nadministrat\u00f6rens privilegier f\u00f6r att skriva filer i SYSVOL. P\u00e5 infekterade enheter k\u00f6rde angriparen PowerShell-kod som skapade ett schemalagt jobb f\u00f6r att \u00f6ppna, avkoda och k\u00f6ra skadlig programvara.<\/p>\n<h2>\n<h2>Avkodning av skadlig programvara<\/h2>\n<\/h2>\n<p>\nVi har utan resultat provat flera metoder f\u00f6r att avkoda prover:<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/1473714dab68c4c046e057012bf27632.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nVi var n\u00e4stan redo att ge upp n\u00e4r vi best\u00e4mde oss f\u00f6r att prova den \"Magiska\" metoden fr\u00e5n den fantastiska<br \/>\nverktyget <noindex><a rel=\"nofollow\" href=\"https:\/\/gchq.github.io\/CyberChef\/\">Cyberchef<\/a><\/noindex> fr\u00e5n GCHQ. \"Magiska\" f\u00f6rs\u00f6ker att gissa filens kryptering genom att g\u00f6ra ett or\u00e4kneligt antal gissningar f\u00f6r olika typer av kryptering och m\u00e4ta entropin. <\/p>\n<p><b class=\"spoiler_title\">\u00d6vers\u00e4ttarens kommentar<\/b> Se.<noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/%D0%94%D0%B8%D1%84%D1%84%D0%B5%D1%80%D0%B5%D0%BD%D1%86%D0%B8%D0%B0%D0%BB%D1%8C%D0%BD%D0%B0%D1%8F_%D1%8D%D0%BD%D1%82%D1%80%D0%BE%D0%BF%D0%B8%D1%8F\">Differentiell entropi<\/a><\/noindex> och <noindex><a rel=\"nofollow\" href=\"https:\/\/ru.wikipedia.org\/wiki\/%D0%AD%D0%BD%D1%82%D1%80%D0%BE%D0%BF%D0%B8%D1%8F#%D0%92_%D1%82%D0%B5%D0%BE%D1%80%D0%B8%D0%B8_%D0%B8%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%B8\">Entropi inom informationsteori<\/a><\/noindex>. Denna artikel och kommentarerna syftar inte till att diskutera detaljer om metoderna som anv\u00e4nds i varken extern eller propriet\u00e4r programvara. <br \/>\n<img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/af405d7c71cc799f50d8a1e56a32dd3f.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n\"Magiska\" identifierade att en GZip-packer med base64-kodning anv\u00e4nts, vilket gjorde att vi kunde packa upp filen och uppt\u00e4ckte koden f\u00f6r injektionen \u2013 \"injektorn\".<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/5f7ff7505b607fc502f24fe5cbe6ba61.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2> Dropper: \"Det \u00e4r en epidemi i omr\u00e5det! Massvaccineringar. Mundialsjuka\"<\/h2>\n<p>\nDroppern var en vanlig .NET-fil utan n\u00e5got skydd. N\u00e4r vi l\u00e4ste k\u00e4llkoden med hj\u00e4lp av <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/0xd4d\/dnSpy\">DNSpy<\/a><\/noindex> , ins\u00e5g vi att dess enda syfte var att injicera shell-koden i processen winlogon.exe.<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/539b3ddb63bad6d3ebc48993462db135.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/3135f51dcd9534c0a11a9a0dcf01bc0d.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2>Shell-kod eller enkla sv\u00e5righeter<\/h2>\n<p>\nVi anv\u00e4nde ett verktyg fr\u00e5n Hexacorn \u2013 <noindex><a rel=\"nofollow\" href=\"http:\/\/www.hexacorn.com\/blog\/2015\/12\/10\/converting-shellcode-to-portable-executable-32-and-64-bit\/\">shellcode2exe<\/a><\/noindex> f\u00f6r att \"kompilera\" shellkoden till en k\u00f6rbar fil f\u00f6r fels\u00f6kning och analys. Sedan uppt\u00e4ckte vi att den fungerade p\u00e5 b\u00e5de 32- och 64-bitars maskiner.<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/df319bd4fa849be9e0afc0f4be5fe753.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nAtt skriva \u00e4ven enklare shell-kod i ren \u00f6vers\u00e4ttning fr\u00e5n assembler kan vara utmanande, medan det att skriva fullst\u00e4ndig shell-kod som fungerar p\u00e5 b\u00e5da typer av system kr\u00e4ver elitkunskaper, s\u00e5 vi b\u00f6rjade h\u00e4pna \u00f6ver angriparens f\u00f6rfining.<\/p>\n<p>N\u00e4r vi analyserade den kompilerade shell-koden med hj\u00e4lp av <noindex><a rel=\"nofollow\" href=\"https:\/\/x64dbg.com\/\">x64dbg<\/a><\/noindex>, m\u00e4rkte vi att den laddade <strong> dynamiska .NET-bibliotek <\/strong>, som clr.dll och mscoreei.dll. Det verkade konstigt f\u00f6r oss \u2013 vanligtvis f\u00f6rs\u00f6ker angripare att g\u00f6ra shell-koden s\u00e5 liten som m\u00f6jligt genom att anropa inbyggda funktioner i OS ist\u00e4llet f\u00f6r att ladda dem. <em>Varf\u00f6r skulle n\u00e5gon beh\u00f6va integrera Windows-funktionalitet i shell-koden ist\u00e4llet f\u00f6r att anropa den direkt vid behov? <\/em><\/p>\n<p>Det visade sig att f\u00f6rfattaren till skadlig kod egentligen inte hade skrivit denna komplexa shell-kod \u2013 det program som anv\u00e4ndes var typiskt f\u00f6r denna uppgift och konverterade exekverbara filer och skript till shell-kod. <\/p>\n<p>Vi hittade verktyget <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/TheWover\/donut\">Donut<\/a><\/noindex>, som vi trodde kunde kompilera en liknande shell-kod. H\u00e4r \u00e4r dess beskrivning fr\u00e5n GitHub:<\/p>\n<p><em>Donut genererar shell-kod x86 eller x64 fr\u00e5n VBScript, JScript, EXE, DLL (inklusive .NET-assemblies). Denna shell-kod kan injiceras i alla Windows-processer f\u00f6r att k\u00f6ras i<br \/>\narbetsminnet.<\/em><\/p>\n<p>F\u00f6r att bekr\u00e4fta v\u00e5r teori kompilerade vi v\u00e5r egen kod med hj\u00e4lp av Donut och j\u00e4mf\u00f6rde den med exemplet \u2013 och\u2026 ja, vi uppt\u00e4ckte en ytterligare komponent av det anv\u00e4nda verktyget. Efter detta kunde vi extrahera och analysera den ursprungliga exekverbara filen p\u00e5 .NET.<\/p>\n<h2> Kodskydd <\/h2>\n<p>\nDen h\u00e4r filen hade obfuskerats med hj\u00e4lp av <noindex><a rel=\"nofollow\" href=\"https:\/\/yck1509.github.io\/ConfuserEx\/\">ConfuserEx<\/a><\/noindex>:<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/573d8e66ce3bdf8723201646d374a4cd.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/cf94a7938184c72864acb8a8d81e8475.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nConfuserEx \u00e4r ett .NET-projekt med \u00f6ppen k\u00e4llkod f\u00f6r att skydda koden f\u00f6r andra utvecklare. Programvara av denna typ g\u00f6r att utvecklare kan skydda sin kod mot reverse engineering med metoder som: symbolbyte, maskering av kontrollfl\u00f6den och d\u00f6lja referensmetoder. F\u00f6rfattare till skadlig programvara anv\u00e4nder obfuskatorer f\u00f6r att undvika uppt\u00e4ckter och f\u00f6r att g\u00f6ra reverse engineering mer utmanande.<\/p>\n<p>Tack vare <noindex><a rel=\"nofollow\" href=\"https:\/\/drive.google.com\/file\/d\/1cXHTHH1S90RCqWYnFOSp1rtYmURecQVm\/view\">ElektroKill Unpacker<\/a><\/noindex> kunde vi packa upp koden:<\/p>\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/03249d2b493027354396894cf9710041.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<\/p>\n<h2> Resultatet \u2013 nyttolasten<\/h2>\n<p>\nNyttolasten som framkom fr\u00e5n omvandlingarna \u00e4r ett mycket enkelt ransom-virus. Ingen mekanism f\u00f6r att s\u00e4kerst\u00e4lla n\u00e4rvaro i systemet, inga kopplingar till kommandocentralen \u2013 bara gammaldags asymmetrisk kryptering f\u00f6r att g\u00f6ra offrets data ol\u00e4sliga.<\/p>\n<p>Huvudfunktionen v\u00e4ljer f\u00f6ljande str\u00e4ngar som parametrar:<\/p>\n<ul>\n<li> Fil\u00e4ndelse att anv\u00e4nda efter kryptering (SaveTheQueen) <\/li>\n<li> F\u00f6rfattarens e-postadress, f\u00f6r att placera i anteckningsfilen med l\u00f6senordsbeg\u00e4ran<\/li>\n<li> \u00d6ppen nyckel som anv\u00e4nds f\u00f6r att kryptera filer <\/li>\n<\/ul>\n<p>\n<img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/51b7194260b58e26636b5cbe1e9cdb28.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\n<strong>Sj\u00e4lva processen ser ut p\u00e5 f\u00f6ljande s\u00e4tt:<\/strong><\/p>\n<ol>\n<li> Den skadliga programvaran unders\u00f6ker lokala och anslutna enheter p\u00e5 offrets enhet\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/ca93bce285bdcf05cd9f7f52bac78f25.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li> S\u00f6ker filer f\u00f6r kryptering\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/e9790631b12dbf816a2c728c2267f1b0.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<li> F\u00f6rs\u00f6ker avsluta processen som anv\u00e4nder filen som den ska kryptera<\/li>\n<li> Byter namn p\u00e5 filen till \"Ursprungligt_filnamn.SaveTheQueenING\", med hj\u00e4lp av funktionen MoveFile, och krypterar den <\/li>\n<li>Efter att filen har krypterats med f\u00f6rfattarens offentliga nyckel, d\u00f6per malware om den igen, nu till \" Ursprungs_filnamn.SaveTheQueen\".<\/li>\n<li>Filinspelningen med l\u00f6seordskrav sker i samma mapp\n<p><img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/c79df5ec0e714d9df01130a40b241f60.jpg\" style=\"display:block;margin: 0 auto;\" \/>\n<\/li>\n<\/ol>\n<p>\nBaserat p\u00e5 anv\u00e4ndningen av den inbyggda funktionen 'CreateDecryptor' verkar en av funktionerna i den skadliga programvaran ha en avkrypteringsmekanism som kr\u00e4ver den privata nyckeln som parameter.<\/p>\n<p>Krypteringsvirus <strong>KRYPTERAR INTE filer<\/strong>, som lagras i katalogerna:<\/p>\n<p>C:windows<br \/>\nC:Program Files<br \/>\nC:Program Files (x86)<br \/>\nC:Users\\AppData<br \/>\nC:inetpub<\/p>\n<p>Den <strong>KRYPTERAR INTE f\u00f6ljande filtyper:<\/strong>EXE, DLL, MSI, ISO, SYS, CAB.<\/p>\n<h2>\n<h2> Sammanfattning och slutsatser<\/h2>\n<\/h2>\n<p>\nTrots att sj\u00e4lva l\u00f6seprogrammet inte inneh\u00f6ll n\u00e5gra ovanliga funktioner, anv\u00e4nde angriparen kreativt Active Directory f\u00f6r att sprida droppen, och den skadliga programvaran gav oss intressanta, om \u00e4n inte s\u00e4rskilt komplexa, hinder under analysen. <\/p>\n<p>Vi tror att f\u00f6rfattaren av den skadliga programvaran:<\/p>\n<ol>\n<li>Skrev l\u00f6seprogrammet med inbyggd injektion i processen winlogon.exe, samt<br \/>\nfunktionalitet f\u00f6r kryptering och avkryptering av filer<\/li>\n<li>Maskerade den skadliga koden med hj\u00e4lp av ConfuserEx, konverterade resultatet med Donut och d\u00f6ljer ytterligare droppen med base64 Gzip<\/li>\n<li>Fick f\u00f6rh\u00f6jda privilegier i offrets dom\u00e4n och anv\u00e4nde dem f\u00f6r att kopiera<br \/>\nden krypterade skadliga programvaran och schemalagda uppgifter till den n\u00e4tverkskatalogen SYSVOL p\u00e5 dom\u00e4nkontrollanterna<\/li>\n<li>K\u00f6rde PowerShell-skript p\u00e5 dom\u00e4nens enheter f\u00f6r att sprida den skadliga programvaran och registrerade attackens framsteg i loggarna i SYSVOL<\/li>\n<\/ol>\n<p>\n<img decoding=\"async\" alt=\"Skapa en kunglighet: Varonis utreder den snabbt spridande ransomware &quot;SaveTheQueen&quot;\" src=\"\/wp-content\/uploads\/2020\/02\/8419072a20487e5a7a3ff20862759f53.jpg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nOm du har fr\u00e5gor om denna version av l\u00f6seprogrammet, eller n\u00e5got annat arbete som v\u00e5ra team har genomf\u00f6rt inom forensics och utredning av informationss\u00e4kerhetsincidenter, <noindex><a rel=\"nofollow\" href=\"https:\/\/www.varonis.com\/ru\/company\/contact-us\/\">kontakta oss <\/a><\/noindex> eller beg\u00e4r <noindex><a rel=\"nofollow\" href=\"https:\/\/www.varonis.com\/ru\/cyber-workshop\/\">en live demonstration av attackrespons<\/a><\/noindex>, d\u00e4r vi alltid svarar p\u00e5 fr\u00e5gor under en Q&amp;A-session.<br \/>\n<br \/>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/varonis\/blog\/488896\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u041d\u043e\u0432\u0430\u044f \u0440\u0430\u0437\u043d\u043e\u0432\u0438\u0434\u043d\u043e\u0441\u0442\u044c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043d\u043e\u0433\u043e \u041f\u041e \u043a\u043b\u0430\u0441\u0441\u0430 \u0432\u0438\u0440\u0443\u0441\u043e\u0432-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u0435\u0439 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u044b\u0432\u0430\u0435\u0442 \u0444\u0430\u0439\u043b\u044b \u0438 \u0434\u043e\u0431\u0430\u0432\u043b\u044f\u0435\u0442 \u043a \u043d\u0438\u043c \u0440\u0430\u0441\u0448\u0438\u0440\u0435\u043d\u0438\u0435 &quot;.SaveTheQueen&quot;, \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044f\u0441\u044c \u0447\u0435\u0440\u0435\u0437 \u0441\u0438\u0441\u0442\u0435\u043c\u043d\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043f\u0430\u043f\u043a\u0443 SYSVOL \u043d\u0430 \u043a\u043e\u043d\u0442\u0440\u043e\u043b\u043b\u0435\u0440\u0430\u0445 \u0434\u043e\u043c\u0435\u043d\u043e\u0432 Active Directory. \u041d\u0430\u0448\u0438 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 \u044d\u0442\u0438\u043c \u0432\u0440\u0435\u0434\u043e\u043d\u043e\u0441\u043e\u043c \u043d\u0435\u0434\u0430\u0432\u043d\u043e. \u041f\u0440\u0438\u0432\u043e\u0434\u0438\u043c \u043d\u0430\u0448 \u043f\u043e\u043b\u043d\u044b\u0439 \u0430\u043d\u0430\u043b\u0438\u0437, \u0435\u0433\u043e \u0440\u0435\u0437\u0443\u043b\u044c\u0442\u0430\u0442\u044b \u0438 \u0432\u044b\u0432\u043e\u0434\u044b \u043d\u0438\u0436\u0435. \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u0438\u0435 \u041e\u0434\u0438\u043d \u0438\u0437 \u043d\u0430\u0448\u0438\u0445 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432 \u0441\u0432\u044f\u0437\u0430\u043b\u0441\u044f \u0441 \u043d\u0430\u043c\u0438 \u043f\u043e\u0441\u043b\u0435 \u0442\u043e\u0433\u043e, \u043a\u0430\u043a \u043e\u043d\u0438 \u0441\u0442\u043e\u043b\u043a\u043d\u0443\u043b\u0438\u0441\u044c \u0441 [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":69514,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-69513","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u0412\u044b\u043a\u0443\u043f\u0430\u0442\u044c \u2014 \u0442\u0430\u043a \u043a\u043e\u0440\u043e\u043b\u0435\u0432\u0443: Varonis \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c \u201cSaveTheQueen\u201d | ProHoster\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-02-20T03:38:30+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-03-03T13:14:51+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47L\u00f6sa \u2013 s\u00e5 h\u00e4r kungligt: Varonis utreder det snabbt spridande krypteringsvirus 'SaveTheQueen' | ProHoster","description":"","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412\u044b\u043a\u0443\u043f\u0430\u0442\u044c \u2014 \u0442\u0430\u043a \u043a\u043e\u0440\u043e\u043b\u0435\u0432\u0443: Varonis \u0440\u0430\u0441\u0441\u043b\u0435\u0434\u0443\u0435\u0442 \u0431\u044b\u0441\u0442\u0440\u043e \u0440\u0430\u0441\u043f\u0440\u043e\u0441\u0442\u0440\u0430\u043d\u044f\u044e\u0449\u0438\u0439\u0441\u044f \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043b\u044c\u0449\u0438\u043a-\u0432\u044b\u043c\u043e\u0433\u0430\u0442\u0435\u043b\u044c \u201cSaveTheQueen\u201d | ProHoster","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/vykupat-tak-korolevu-varonis-rassleduet-bystro-rasprostranyayushhijsya-shifrovalshhik-vymogatel-savethequeen","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-02-20T03:38:30+00:00","article:modified_time":"2020-03-03T13:14:51+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"69513","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 19:21:24","updated":"2022-10-08 01:25:43","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/69513","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=69513"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/69513\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/69514"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=69513"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=69513"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=69513"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}