Locky, один из самых распространенных вымогателей, теперь рассылается через спам, в прикрепленных JavaScript-файлах. Раньше рассылаемые вредоносные JavaScript-вложения устанавливали на компьютер жертвы трояны-загрузчики. Однако на прошлой неделе была замечена новая волна рассылки, в которой изменился механизм, и теперь вместо загрузчиков, вредоносные вложения загружают на компьютер пользователей вымогатель Locky.
По мнению исследователей из CYREN, в заголовках писем вредоносной рассылки использовалась тема «Счет-фактура», это довольно стандартный прием для распространения вредоносных программ. Кроме того, исследователи отметили, что имена файлов-вложений в письмах также не изменились и использовались уже в предыдущих рассылках Locky.
Изменился размер вложенного .zip-архива, он стал на 250KB больше в сравнении с вложениями из предыдущих рассылок. Но находящийся внутри архива JavaScript-файл использует тот же метод обфускации, что и раньше.
Загрузив вредоносный скрипт в редактор, исследователи CYREN отметили использование многочисленных переменных, содержащих куски строк, которые объединяются во время выполнения.
В отличие от предыдущих вариантов, в коде наблюдалось много больших массивов, где содержится зашифрованный бинарный файл вымогателя Locky. Перед тем, как файл запустится на выполнение, он расшифровывается и сохраняется на диске.
Встраивать вредоносный код в скрипты давно не является новой методикой и используется злоумышленниками давно. Однако раньше вымогатели предпочитали использовать вредоносные макросы в документах Office, распространяя их посредствам рассылок с помощью ботнета Necurs.
Процесс расшифрования бинарного файла вымогателя отмечается всплеском нагрузки на процессор, которую дает процесс wscript.exe. После расшифровки, исполняемый файл сохраняется в папке Temp с, казалось бы, случайным именем, однако имя жестко закодировано в скрипте. Затем, бинарный файл вымогателя запускается с аргументом «321».
Этот вариант Locky добавляет расширение .zepto к зашифрованным файлам. Согласно исследованиям CYREN, авторы вредоноса сделали лишь несколько изменений в коде, чтобы использовать новое расширение зашифрованных файлов.
Как только процесс шифрования файлов пользователя закончен, Locky меняет фон рабочего стола на записку с требованиями. Также пользователю предоставляются Tor-ссылки, пройдя по которым он попадает на «Страницу расшифровки Locky».
В Сети появились данные пользователей, якобы зарегистрированных в онлайн-магазине косметики для мужчин и женщин ProfMagazin (profmagazin.ru). В выложенных дампах также можно найти историю заказов.
Об очередном сливе сообщает телеграм-канал «Утечки информации». Проанализировав опубликованную БД, исследователи выделили следующие скомпрометированные данные:
Имена и фамилии пользователей;
Адреса электронной почты (138 558 уникальных);
Телефонные номера (85 002 уникальных);
Адреса проживания;
Хешированные пароли (MD5 с солью);
Сумму заказов.
По словам специалистов, данные максимально свежие — датируются 17 марта 2024 года.
Напомним, на прошлой неделе появилась информация об утечке 200 млн строк данных, якобы украденных у Национального Бюро Кредитных Историй. Позже само бюро опровергло слив, отметив, что специалисты проверили системы и изучили выложенный фрагмент дампа.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.