Вымогатель Locky использует для распространения вредоносные макросы

Вымогатель Locky использует для распространения вредоносные макросы

Вымогатель Locky использует для распространения вредоносные макросы

Эксперты компаний Palo Alto Networks и Sophos одновременно сообщили об обнаружении нового шифровальщика Locky, атакующего пользователей компьютеров, работающих под управлением Windows. Тогда как по методам работы новый шифровальщик скорее напоминает CryptoWall, для его распространения используются техники позаимствованные у банковского трояна Dridex.

Имя шифровальщика происходит от расширения .locky, именно в файлы такого формата превращаются пострадавшие данные после атаки малвари. По данным специалистов, новый вредонос распространяется со скоростью 4000 заражений в час, то есть примерно 100 000 заражений в день.

Основной канал распространения шифровальщика: почтовый спам, а точнее вредоносные документы Microsoft Word, приложенные к спамерским сообщениям. Равно как и банковский троян Dridex, Locky использует для атаки на жертву вредоносные макросы. Как только жертва открывает документ и разрешает работу макросов (что ее вынуждают сделать при помощи социальной инженерии), с сервера атакующих загружается и автоматически запускается малварь, пишет xakep.ru.

 

 

«Включите макросы, если данные отображаются некорректно»

Затем Locky остается только зашифровать данные и сменить обои рабочего стола на файл .bmp с требованием выкупа в размере от 0,5 до 2 биткоинов ($200 или $800). Для оплаты выкупа жертве предлагают скачать Tor браузер и посетить сайт злоумышленников в даркнете.

 

 

Кроме того, Locky удаляет на зараженном устройстве все файлы Volume Snapshot Service, так же известные как теневые копии, чтобы предотвратить восстановление данных. Троян также пытается распространиться на другие машины локальной сети.

«По моим примерным оценкам, к концу дня более 100 000 устройств будут заражены Locky, что делает данный случай по настоящему серьёзным инцидентом, — пишет в блогенезависимый исследователь Кевин Бимонт (Kevin Beaumont). — Через три дня примерное число зараженных машин достигнет четверти миллиона».

Вряд ли независимый эксперт сильно ошибся в расчетах, к примеру, компания Palo Alto Networks зафиксировала уже более 460 000 сессий для данной угрозы, более половины которых замечены на территории США. Также новая угроза поразила пользователей из Канады, Австралии, Германии, Голландии, Хорватии, Мали, Саудовской аравии, Мексики, Польши и Сербии.

 

 

Комментирует Антон Разумов, руководитель группы консультантов Check Point:

"Многие компании и частные пользователи, как правило, используют стандартные методы защиты, которые редко обновляются, в то время как угрозы становятся все более сложными.  Такой вид атаки, как ransomaware, популярен среди хакеров благодаря своей простоте и прибыльности. Возможность проникновения этого вредоносного кода на рабочие станции очень велика.

Существует два типа наиболее эффективных решений для предотвращения кибервымогательских атак. Первый тип — это анти-бот, который анализирует трафик и может выявить попытки подключения компьютера к командному центру бот-сети. Если такой подозрительный трафик обнаружился, решение анти-бот просто блокирует его, и бот не может связаться с командным сервером. Если командный сервер, например, дал команду боту начать шифровать файлы на жестком диске, бот не получит ее, так как трафик будет заблокирован.

Второй тип защиты — это использование «песочниц», которые эмулируют операционную систему и открывают подозрительный файл внутри этой среды, повторяющей конфигурацию компьютера. Если поведение файла вызывает подозрение, он будет отправлен в карантин. Самые последние виды «песочниц» позволяют эмулировать угрозы на уровне центрального процессора, выявляя саму попытку внедрения вредоносного кода в сеть.

К сожалению, если заражение все-таки произошло, и компьютер оказался зашифрован, то расшифровать файлы практически невозможно — придется переустанавливать операционную систему или заплатить вымогателям за ключи расшифровки". 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Банки Беларуси предотвратили 31 тыс. мошенничеств благодаря AntiFraud Club

Российский разработчик F6 сообщил о масштабном расширении AntiFraud Club — профессионального сообщества, которое объединяет банки Беларуси для совместной борьбы с финансовыми мошенниками. В основе работы клуба лежит технология F6 Fraud Protection, позволяющая организациям обмениваться данными об инцидентах и координировать действия в реальном времени.

AntiFraud Club стартовал в Минске в марте 2024 года с участием шести банков. Спустя полтора года сообщество выросло в несколько раз.

На ноябрьской встрече среди участников были: «Альфа-Банк» (ЗАО), «Белагропромбанк», «Банк БелВЭБ», «Белгазпромбанк», «МТБанк», «Нео Банк Азия», «Приорбанк», «СтатусБанк», «Технобанк» и партнёр F6 — «Позитив Вью».

Главная задача клуба — совместно выявлять новые мошеннические схемы, обмениваться инцидентами и внедрять защитные решения.

По оценкам F6, только в 2025 году участники AntiFraud Club предотвратили свыше 31 200 мошеннических попыток, связанных с дистанционным банковским обслуживанием. Чаще всего пользователей атакуют через:

  • распространение зловредов (включая CraxsRAT и NFCGate);
  • инвестскам;
  • фальшивые розыгрыши от имени банков;
  • взлом аккаунтов в мессенджерах;
  • фейковые компенсации и мошеннические опросы.

Отдельно эксперты отмечают рост атак с использованием таких зловредов, как CraxsRAT и NFCGate. Аналогичная тенденция наблюдалась и в России: только в феврале 2025 года число заражений CraxsRAT выросло в 2,5 раза и превысило 22 тысячи скомпрометированных Android-устройств.

Главный канал распространения зловредов остаётся прежним — социальная инженерия. Поддельные приложения маскируются под сервисы мобильных операторов, платёжные платформы, VPN, приложения для знакомств или коммунальных услуг. Жертвы устанавливают их по ссылкам из мессенджеров или из неофициальных источников.

Директор департамента розничных рисков «Альфа-Банка» Владимир Короб отмечает, что масштабы и скорость эволюции мошенничества требуют объединения усилий:

«Современные мошенники действуют глобально. ИИ, большие данные, поддельные сервисы — всё это уже реальность. Поэтому важны не только технологии, но и партнёрство. Мы работаем с разработчиками, регулятором, правоохранителями и AntiFraud Club, чтобы сделать платежи максимально надёжными».

Руководитель направления F6 Fraud Protection Дмитрий Ермаков подчёркивает, что эффект от объединения уже заметен:

«Благодаря координации и обмену инцидентами банки Беларуси значительно усилили защиту клиентов. Решения F6 и совместный анализ схем позволяют быстрее реагировать на атаки и снижать риски».

AntiFraud Club продолжает расширяться, а участники готовят новые форматы сотрудничества в борьбе с мошенничеством.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru