Троян-вымогатель заражает пользователей через поиск Google

Троян-вымогатель заражает пользователей через поиск Google

Международная антивирусная компания ESET сообщает о новом способе распространения троянской программы Nymaim, которая может блокировать компьютер пользователя с целью получения выкупа за расшифровку. С конца сентября 2013 года внимание экспертов антивирусной лаборатории ESET привлекла уже известная вредоносная программа Nymaim – троян с функциями вымогателя.

Раньше заражение этим ПО осуществлялось при помощи известного комплекта взломщиков-эксплойтов BlackHole, которые использовали имеющиеся на компьютере уязвимости приложений или операционной системы для доставки вредоносного кода.

Однако недавно появилась информация о том, что автор комплекта BlackHole был задержан в России. Похоже, в этой связи злоумышленники стали использовать новый способ заражения пользователей.

Механизм заражения

С конца сентября было зафиксировано большое количество обнаружений этой вредоносной программы среди загруженных при помощи браузера файлов. Эксперты ESET установили, что реферальные ссылки, ведущие на загрузку вредоносных файлов, принадлежат Google.

Это означает, что перед заражением пользователь ввел в Google-поиск некий запрос и кликнул на одну из ссылок в поисковой выдаче.

Согласно результатам исследования веб-страниц, которые инициировали загрузку вредоносного кода, для масштабного заражения злоумышленники использовали т.н. «темную поисковую оптимизацию» (Black Hat SEO), с помощью которой продвигали специально созданные вредоносные страницы в топ выдачи по популярным ключевым словам.

Кликнув на такую ссылку в поисковой выдаче, пользователь перенаправляется на вредоносную страницу и инициирует загрузку архива, название которого – для повышения доверия пользователей – соответствует введенному в строку поиска тексту. Т.е. один и тот же архив будет загружен с разными именами, в зависимости от поискового запроса. Вот несколько примеров обнаруженных экспертами ESET названий одного файла:

video-studio-x4.exe

speakout-pre-intermediate-wb-pdf.exe

new-headway-beginner-3rd-edition.exe

donkey-kong-country-3-rom-portugues.exe

barbie-12-dancing-princesses-soundtrack.exe 

Как можно видеть, в данном случае зараженные пользователи искали программу-редактор видео, учебник английского языка, образ игры Donkey Kong, саундтрек к мультфильму «Барби и 12 танцующих принцесс» и т.д.

Так или иначе, загруженный под любым названием вредоносный архив содержит исполняемый файл, который после запуска устанавливает в систему код Nymaim.

Win32/Nymaim заражает систему в два этапа. Попав на компьютер, первый вредоносный файл осуществляет скрытую загрузку и запуск второго файла, который, в свою очередь, также может загружать дополнительное вредоносное ПО, а может и просто блокировать операционную систему для получения выкупа.

Оба файла успешно детектируются решениями ESET NOD32.

 

Пример экрана блокировки, демонстрируемый пользователям США.

 

 

Суммы выкупа

В ходе исследования аналитики ESET обнаружили более десятка вариантов экрана блокировки, созданных на разных языках и с различным оформлением. Нетрудно догадаться, что их целью были пользователи из разных стран Европы и Северной Америки.

На данный момент обнаружены экраны блокировки из Австрии, Великобритании, Германии, Ирландии, Испании, Канады, Мексики, Нидерландов, Норвегии, Румынии, Франции и США. Однако, этот список не является окончательным – скорее всего, существуют пострадавшие и в других странах. Пользователь из любой страны может быть заражен.

Интересно, что стоимость выкупа отличается для разных стран. В большинстве из найденных экранов блокировки цена выкупа составляет около $150, однако пользователей из США просят заплатить за разблокировку самую высокую цену – $300 долларов; в Румынии же зараженный пользователь может отделаться «всего лишь» 100 €, т.е. около $135. Нетрудно догадаться, что к пользователям из Соединенных Штатов киберпреступники испытывают наибольшую неприязнь.

  

Стоимость разблокировки для разных стран, USD (источник: ESET Slovakia)

 

 

Итог

Вся активность трояна Win32/Nymaim осуществляется в рамках кампании по распространению злонамеренного ПО, в процессе которой вредоносные Apache-модули заражают легальные веб-сервера, что приводит к перенаправлению пользователей на вредоносные сайты.

Минюст раскритиковал идею тюрьмы до 15 лет за мошенничество с ИИ

Минюст усомнился в законопроекте Минцифры, который предлагает считать использование искусственного интеллекта отягчающим обстоятельством при совершении мошенничества и других ИТ-преступлений. Основная претензия — слишком размытое определение ИИ, которое может привести к путанице и противоречивой судебной практике.

Это следует из заключения на законопроект, направленного замминистра юстиции Вадимом Федоровым в Минцифры.

Документ есть в распоряжении «Ведомостей». В Минюсте подтвердили, что провели правовую и антикоррупционную экспертизу и направили свои замечания разработчикам.

В Минцифры, в свою очередь, заявили, что законопроект уже доработан с учётом комментариев других ведомств, однако уточнять, какие именно изменения были внесены, не стали.

Несмотря на позицию Минюста, 12 января 2026 года законопроект был одобрен правительственной комиссией по законопроектной деятельности. По данным источников «Ведомостей», документ может быть внесён в Госдуму уже в ближайшие дни.

О планах ввести уголовную ответственность за преступления с использованием ИИ Минцифры говорило ещё летом 2025 года. Во втором пакете антимошеннических инициатив, например, говорилось о штрафах до 2 млн рублей или лишении свободы на срок до 15 лет. Теперь эти идеи оформлены в конкретные поправки в Уголовный кодекс.

Законопроект предлагает внести изменения сразу в несколько статей УК РФ — о краже, мошенничестве, вымогательстве и преступлениях в сфере компьютерной информации. В них появляется отдельный квалифицирующий признак: совершение преступления с использованием искусственного интеллекта.

Авторы инициативы объясняют её ростом дистанционных преступлений. В пояснительной записке указано, что в 2024 году было зарегистрировано более 485 тысяч преступлений по статьям о краже и мошенничестве, а ущерб от «дистанционных хищений» превысил 197 млрд рублей.

Главная претензия Минюста — в самом определении искусственного интеллекта. В законопроекте ИИ описывается как «комплекс технологических решений», способных имитировать когнитивные функции человека и выдавать сопоставимые результаты.

По мнению ведомства, такое определение слишком широкое. Его применение потребует обязательных экспертиз практически по каждому делу, что:

  • увеличит нагрузку на экспертные учреждения;
  • повысит расходы;
  • затянет сроки расследований и судебных процессов.

Кроме того, Минюст указывает на возможную конкуренцию новых норм с уже существующими статьями УК, регулирующими преступления в сфере компьютерной информации.

Юристы и специалисты по ИБ в целом разделяют опасения Минюста. По словам экспертов, под предлагаемое определение потенциально могут попасть не только нейросети и дипфейки, но и любые инструменты анализа данных — вплоть до обычного ПО, браузеров и даже антивирусов, если они используются преступником.

При этом эксперты признают: мошенники действительно всё активнее применяют ИИ — для создания реалистичных дипфейков, массового фишинга и автоматизированных звонков. Такие атаки становятся масштабнее, незаметнее и психологически опаснее для жертв.

Минцифры продолжает активно продвигать антифрод-инициативы — это уже второй пакет мер за год. Однако история с «ИИ как отягчающим обстоятельством» показывает, что регулирование новых технологий упирается не только в желание ужесточить наказание, но и в отсутствие чётких юридических рамок.

Если закон примут в текущем виде, ключевым вопросом станет не только борьба с мошенниками, но и то, как именно следствие и суды будут понимать, что считать искусственным интеллектом.

RSS: Новости на портале Anti-Malware.ru