Payload Ransomware атакует Windows и Linux-среды организаций

Payload Ransomware, выявленный в феврале 2026 года, представляет собой кроссплатформенную ransomware-угрозу, нацеленную прежде всего на организации среднего и крупного размера. Наиболее уязвимыми оказались компании из сфер healthcare, telecommunications, finance и logistics, а заметная активность семейства зафиксирована на Middle East и в Asia.

По данным отчёта, эта семья программ-вымогателей включает как Windows, так и Linux-варианты. При этом версия для Windows демонстрирует особенно сложное поведение и набор функций, ориентированных на скрытность, устойчивость к анализу и затруднение восстановления данных.

Windows-версия: управление, скрытность и антифорензика

Windows-вариант работает как исполняемый файл, который может запускаться вручную или удалённо с использованием различных command-line arguments. Это позволяет операторам адаптировать его функциональность под конкретную среду цели.

Среди ключевых особенностей отмечаются:

• возможность работы в фоновом режиме;
• обход проверок mutex для разрешения нескольких экземпляров;
• отключение критически важных мер операционной безопасности, включая запись в Event Log;
• самосокрытие путём переименования в альтернативный поток данных NTFS;
• очистка журналов событий Windows;
• завершение работы критических system services перед началом шифрования;
• удаление всех shadow copies томов;
• выявление и завершение конкретных процессов, мешающих выполнению вредоносного кода.

Такая комбинация техник показывает, что Payload Ransomware ориентирован не только на шифрование данных, но и на системное подавление механизмов защиты, мониторинга и восстановления. В результате жертва лишается как стандартных средств обнаружения инцидента, так и привычных путей возврата к доступным копиям данных.

Криптография и структура шифрования

Процесс шифрования использует гибридную схему, сочетающую Curve25519 для обмена ключами и ChaCha20 для быстрого шифрования файлов. Каждый файл шифруется уникальным ключом, а к нему добавляется структурированный метаданный tail, содержащий спецификации шифрования.

Этот tail помечается расширением .payload и предназначен для последующего дешифрования на стороне атакующего. Для усложнения анализа он подвергается обфускации, что дополнительно затрудняет исследование образца и построение средств восстановления.

«Шифровальщик обеспечивает самосокрытие и последовательно разрушает стандартные механизмы расследования и восстановления», — следует из описания поведения семейства.

Linux-вариант и фокус на VMware ESXi

Linux-версия Payload Ransomware предназначена в первую очередь для сред VMware ESXi. В отличие от Windows-варианта, её функциональность упрощена и сосредоточена исключительно на эффективном шифровании размещённых рабочих нагрузок.

Хотя этот вариант не обладает столь же развитыми механизмами противодействия восстановлению, как версия для Windows, он сохраняет общие принципы проектирования и схожие криптографические подходы. Это указывает на единое семейство с адаптацией под разные инфраструктурные среды.

Вывод

Payload Ransomware демонстрирует признаки зрелого ransomware-семейства: кроссплатформенность, развитые механизмы скрытности, антифорензика, удаление возможностей восстановления и использование современной криптографии. С учётом фокуса на healthcare, telecommunications, finance и logistics, а также активности в Middle East и Asia, угроза требует повышенного внимания со стороны организаций, использующих как Windows, так и Linux инфраструктуру, включая VMware ESXi.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Оригинал публикации на сайте CISOCLUB: "Payload Ransomware атакует Windows и Linux-среды организаций".

Смотреть публикации по категориям: Новости | Мероприятия | Статьи | Обзоры | Отчеты | Интервью | Видео | Обучение | Вакансии | Утечки | Уязвимости | Сравнения | Дайджесты | Прочее.

Подписывайтесь на нас: MAX | VK | Rutube | Telegram | Дзен | YouTube.