Шифровальщики начали чаще атаковать пользователей

Шифровальщики начали чаще атаковать пользователей

Шифровальщики начали чаще атаковать пользователей

Пользователи ПК стали в пять раз чаще сталкиваться с программами-шифровальщиками, требующими выкуп за возвращение доступа к файлам, которые они обработали и сделали нечитаемыми.

Специалисты «Лаборатории Касперского» сравнили данные за двухгодичный период (апрель 2014 г. – март 2015 г. / апрель 2015 г. – март 2016 г.) и выяснили, что число людей, на чьих компьютерах защитные решения компании заблокировали подобные зловреды, увеличилось в 5,5 раза. О стремительном росте этой угрозы говорит еще один факт: среди всех пользователей, которые столкнулись с любым видом программ-вымогателей (например, с блокерами), доля именно тех, кто имел дело с шифровальщиками, увеличилась на 25 процентных пунктов и по состоянию на март 2016 года составила 31,6%. 

 

Число пользователей, столкнувшихся с программами-вымогателями и шифровальщиками за 24 месяца начиная с апреля 2014 года 

 

Общее же число пользователей, на компьютеры которых попали любые типы программ-вымогателей, в отчетном периоде выросло на 17,7% и превысило 2,3 миллиона. При этом среди всех жертв вымогателей в два раза увеличилась доля корпоративных пользователей – до 13%. 

Что касается России, то страна попала в первую тройку государств, в которых наблюдался особенно интенсивный рост числа инцидентов с программами-вымогателями. В итоге Российская Федерация заняла вторую строчку в рейтинге, уступив первенство Индии. А в предыдущем отчетном периоде, то есть с апреля 2014 года по март 2015-го, страна находилась на пятом месте.   

«Самая главная проблема с программами-вымогателями в целом и с шифровальщиками в частности на сегодня заключается в том, что зачастую у пострадавших не остается способов вернуть доступ к данным, кроме как пойти на поводу у злоумышленников и заплатить выкуп. А это лишь подстегивает их недобрые намерения и способствует появлению еще большего числа шифровальщиков. И статистические данные, которые мы собрали, служат тому подтверждением, – поясняет Фёдор Синицын, старший антивирусный аналитик «Лаборатории Касперского». – И корпоративные, и домашние пользователи могут защитить себя от этой угрозы другими, более разумными способами, например, регулярно создавая резервные копии своих файлов, используя надежное защитное решение, проявляя бдительность при получении информации из непроверенных источников и от подозрительных лиц. Злоумышленники будут использовать шифровальщики только до тех пор, пока они будут приносить им легкие деньги и простую выгоду. Так что изменить ситуацию в силах самих пользователей».

Действующая в России кибергруппа Head Mare обновила Windows-бэкдор

В этом месяце хактивисты Head Mare провели еще одну вредоносную рассылку с прицелом на российские организации. При разборе атак эксперты «Лаборатории Касперского» обнаружили новый вариант трояна PhantomCore.

В предыдущей серии имейл-атак, тоже февральских, группировка Head Mare пыталась заселить в российские корпоративные сети схожий Windows-бэкдор PhantomHeart.

Новые письма-ловушки злоумышленники рассылали от имени некоего НИИ, предлагая его услуги в качестве подрядчика. Вложенный архив под паролем содержал несколько файлов с двойным расширением .pdf.lnk.

 

При запуске эти ярлыки действуют одинаково: автоматически скачивают с внешнего сервера документы-приманки и файл USOCachedData.txt. Загрузчики различаются лишь ссылками, по которым они работают.

 

Невинный на вид USOCachedData.txt на самом деле скрывает DLL обновленного PhantomCore. Анализ образца (результат VirusTotal на 23 февраля — 34/72) показал, что новобранец написан на C++, строки кода зашифрованы путем побайтового XOR, а основной задачей трояна является обеспечение удаленного доступа к консоли в зараженной системе.

При подключении к C2-серверу вредонос отправляет два POST-запроса с данными жертвы для регистрации и ожидает команд. В ответ он получает координаты архива с TemplateMaintenanceHost.exe — модулем для создания туннеля, который оседает в папке %AppData% и обживается через создание нового запланированного задания.

Написанный на Go компонент TemplateMaintenanceHost.exe отвечает за запуск утилиты ssh.exe, которая может работать как SOCKS5-прокси и по дефолту включена в состав новейших Windows. Итоговый туннель открывает злоумышленникам возможность подключаться к другим машинам в той же локальной сети.

По данным Kaspersky, новые поддельные письма Head Mare были разосланы на адреса сотен сотрудников российских госучреждений, финансовых институтов, промышленных предприятий и логистических компаний.

RSS: Новости на портале Anti-Malware.ru