«Лаборатория Касперского» обнаружила шифровальщик, который эксплуатирует уязвимость нулевого дня в Windows для повышения привилегий в заражённой системе и использует для маскировки архитектурные особенности процессора, что нечасто встречается в зловредах подобного типа. Программа, получившая название Sodin, требует выкуп в биткоинах, эквивалентный сумме 2500 долларов США.

Эксперты обнаружили некоторые признаки, которые позволяют предположить, что Sodinраспространяется по RAAS-модели (вымогатель-как-услуга, от англ. Ransomware-as-a-Service), то есть продаётся на чёрном рынке. С этим связана интересная особенность этого зловреда. Обычно при такой схеме единственный ключ для дешифровки файлов находится в распоряжении распространителей программы. Функциональность же Sodin содержит лазейку, которая позволяет его авторам иметь возможность расшифровывать файлы втайне от распространителей.

Также, чтобы затруднить анализ вредоносного кода программами-отладчиками и усложнить обнаружение этого шифровальщика защитными решениями, злоумышленники используют редкую в случае программ-вымогателей технику «Небесные врата» (Heaven’s Gate), которая позволяет выполнять 64-разрядный код в 32-разрядном процессе.

Методы распространения данного шифровальщика в большинстве случаев не предполагают каких-либо активных действий со стороны жертвы. Злоумышленники компрометируют серверы, на которых запущено уязвимое ПО, и незаметно для жертвы устанавливают зловред в систему.

Решения «Лаборатории Касперского» распознают этот зловред как Trojan-Ransom.Win32.Sodinи блокируют его активность. Уязвимость CVE-2018-8453, которую эксплуатирует Sodin, ранее использовала кибергруппировка FruityArmor. Патч для этой уязвимости был создан 10 сентября 2018 года.