Эксперты ESET обнаружили первый саморазмножающийся шифратор

Эксперты ESET обнаружили первый саморазмножающийся шифратор

Эксперты международной антивирусной компании ESET обнаружили новую разновидность трояна-шифратора с уникальным механизмом заражения файлов – Win32/Virlock. Как и другие известные шифраторы, Win32/Virlock блокирует рабочий стол инфицированного компьютера, шифрует файлы и выводит на экран требование выкупа.

Но в дополнение к «традиционному» функционалу Win32/Virlock способен также заражатьфайлы как полиморфный вирус, встраивая в них свой код.

Win32/Virlock специализируется на заражении файлов наиболее распространенных форматов: .exe, .doc, .xls, .zip, .rar, .pdf, .ppt, .mp3, .png, .gif, .jpg и др. Virlock компрометирует файлы как на сетевых дисках, так и на съемных носителях.

При заражении файла, не являющегося исполняемым, Win32/Virlock использует специальную схему. Вместо обычного для данного типа вредоносного ПО побайтного шифрования он преобразует файл в исполняемый. Для этого Virlock создает новый файл с зашифрованным содержимым документа и своим кодом, удаляет оригинальный файл и перезаписывает новый с тем же именем, но с расширением .exe.

Запуск инфицированного файла сопровождается созданием двух новых, осуществляющих дальнейшее заражение системы. Полиморфизм Win32/Virlock гарантирует уникальность тела вредоносной программы в каждом «обработанном» файле.

Часть кода Win32/Virlock отвечает за отображение экрана блокировки и самозащиту, в том числе завершение процессов «Диспетчера задач». Сообщение в окне блокировки содержит требование о выкупе в размере 250 долларов в биткоин-эквиваленте. Анализ транзакций, проведенных по указанному счету Bitcoin, показал, что некоторые жертвы уже заплатили злоумышленникам.

Интересно, что код вредоносной программы способен выполнять некоторую локализацию экрана блокировки. Для этого используется соединение с google.com и определение перенаправления на локальный домен (например, google.ru, google.co.uk и др.). В некоторых странах на экране блокировки отображается государственный флаг, стоимость биткоина и курс национальной валюты.

Специалисты ESET зафиксировали несколько модификаций Win32/Virlock, что указывает на его активное развитие злоумышленниками. При этом код Win32/Virlock свидетельствует о высоком уровне технической подготовки авторов программы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

УБК МВД предупреждает о новой схеме перехвата платежных данных

Управление по организации борьбы с противоправным использованием информационно-коммуникационных технологий МВД России (УБК МВД) предупреждает о новой схеме мошенничества, основанной на перехвате платёжных данных через функцию демонстрации экрана.

Как сообщает официальный телеграм-канал УБК МВД «Вестник киберполиции России», злоумышленники ищут потенциальных жертв среди людей, которые подыскивают работу или подработку.

Чаще всего аферисты предлагают вакансию помощника для пожилого человека, в обязанности которого входит закупка продуктов и лекарств.

После этого мошенники переводят общение в мессенджер, где передают списки покупок и якобы отправляют деньги для их оплаты.

Чтобы внушить доверие, жертве направляют поддельное СМС-сообщение от банка о переводе средств. Таким образом создаётся иллюзия реальной финансовой операции и укрепляется вера в «работодателя».

Под предлогом контроля расходов аферисты просят включить демонстрацию экрана. Это позволяет им перехватывать реквизиты онлайн-банка, включая коды из СМС или push-уведомлений, используемые для двухфакторной аутентификации.

В УБК МВД напомнили: ни при каких обстоятельствах нельзя включать демонстрацию экрана при общении с незнакомыми людьми.

Популярность этой мошеннической техники резко выросла в 2024 году. По данным Банка России, на такие схемы приходилось до 20% дистанционных хищений, общий ущерб составил около 1 млрд рублей. Массово применять её начали уже в январе 2024 года.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru