Locky, один из самых распространенных вымогателей, теперь рассылается через спам, в прикрепленных JavaScript-файлах. Раньше рассылаемые вредоносные JavaScript-вложения устанавливали на компьютер жертвы трояны-загрузчики. Однако на прошлой неделе была замечена новая волна рассылки, в которой изменился механизм, и теперь вместо загрузчиков, вредоносные вложения загружают на компьютер пользователей вымогатель Locky.
По мнению исследователей из CYREN, в заголовках писем вредоносной рассылки использовалась тема «Счет-фактура», это довольно стандартный прием для распространения вредоносных программ. Кроме того, исследователи отметили, что имена файлов-вложений в письмах также не изменились и использовались уже в предыдущих рассылках Locky.
Изменился размер вложенного .zip-архива, он стал на 250KB больше в сравнении с вложениями из предыдущих рассылок. Но находящийся внутри архива JavaScript-файл использует тот же метод обфускации, что и раньше.
Загрузив вредоносный скрипт в редактор, исследователи CYREN использование многочисленных переменных, содержащих куски строк, которые объединяются во время выполнения.
В отличие от предыдущих вариантов, в коде наблюдалось много больших массивов, где содержится зашифрованный бинарный файл вымогателя Locky. Перед тем, как файл запустится на выполнение, он расшифровывается и сохраняется на диске.
Встраивать вредоносный код в скрипты давно не является новой методикой и используется злоумышленниками давно. Однако раньше вымогатели предпочитали использовать вредоносные макросы в документах Office, распространяя их посредствам рассылок с помощью ботнета Necurs.
Процесс расшифрования бинарного файла вымогателя отмечается всплеском нагрузки на процессор, которую дает процесс wscript.exe. После расшифровки, исполняемый файл сохраняется в папке Temp с, казалось бы, случайным именем, однако имя жестко закодировано в скрипте. Затем, бинарный файл вымогателя запускается с аргументом «321».
Этот вариант Locky добавляет расширение .zepto к зашифрованным файлам. Согласно исследованиям CYREN, авторы вредоноса сделали лишь несколько изменений в коде, чтобы использовать новое расширение зашифрованных файлов.
Как только процесс шифрования файлов пользователя закончен, Locky меняет фон рабочего стола на записку с требованиями. Также пользователю предоставляются Tor-ссылки, пройдя по которым он попадает на «Страницу расшифровки Locky».
В приложении МАХ появился удобный способ смотреть основные личные документы прямо в профиле. Теперь — с согласия пользователя — данные из Госуслуг автоматически отображаются в разделе «Цифровой ID». Причём доступ к ним не требует биометрии.
Сервис уже позволяет открыть электронные версии паспорта, водительского удостоверения, СНИЛС, полиса ОМС и ИНН. Позже список обещают расширить: появятся сведения о транспортных средствах и документы детей.
Чтобы включить быстрый доступ, нужно:
обновить приложения МАХ и Госуслуги;
зайти в раздел «Цифровой ID»;
выбрать нужный документ;
разрешить Госуслугам передавать данные при первом использовании.
Функция делает процесс проверки документов заметно быстрее и избавляет от необходимости искать их в разных сервисах.
Напомним, MAX недавно подтвердил совместимость с операционными системами Astra Linux и Аврора. Теперь приложение обзавелось сертификатом «Ready for Astra». Его также можно скачать на устройства с «Авророй» через RuStore.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
