Trend Micro обнаружили новый способ распространения шифровальщика Locky

Trend Micro обнаружили новый способ распространения шифровальщика Locky

Trend Micro обнаружили новый способ распространения шифровальщика Locky

Trend Micro предупредила в воскресенье о новом методе распространения вымогателя Locky. Зловред, нацеленный на организации, доставлялся с помощью файлов Windows script (WSF).

Еще в мае было замечено, что киберпреступники начали использовать WSF-файлы для распространения шифровальщика Cerber. Так как метод этот является очень эффективным для того, чтобы избежать обнаружения, злоумышленники также начали использовать его для распространения Locky.

WSF-файлы - текстовые документы, которые содержат код XML, каждый файл может содержать более одного языка сценариев. Исследователи считают, что использование WSF-файлов для распространения зловредов ставит сложную задачу перед антивирусными средствами, так как обычно подобные файлы ими не контролируются. WSF-файлы могут увеличить шансы обхода песочницы и черных списков. 

«Такая методика позволяет обойти антивирусные средства, включая песочницу. Кроме того, использование смешанных скриптовых языков очень затрудняет анализ подобных угроз» - объясняют в Trend Micro.

«Подобно использованию VBScript и JavaScript, WSF позволяет злоумышленникам загружать любую вредоносную нагрузку. В случае с Locky, файл вымогателя, загруженный с помощью WSF имеет другой хеш. Когда хеш отличается, детектирование с помощью черного списка становится невозможным» - добавляют в Trend Micro.

В атаках, наблюдаемых Trend Micro в прошлом месяце, злоумышленники выбрали своей целью компаний. WSF-файлы, которые доставляли Locky, были упакованы в ZIP-архивы и прикреплялись к электронным письмам с заголовками: «ежегодный доклад», «выписка из банковского счета», «база данных компании».

Были разосланы миллионы этих спам-писем, пик приходился на рабочие дни с 9 до 11 часов утра, как раз когда большинство европейских сотрудников начинают свой рабочий день. Спам шел из компьютеров в Сербии, Колумбии и Вьетнаме, затем из Таиланда и Бразилии.

После заражения компьютера Locky проверяет системный реестр, чтобы определить язык системы и отображает записку с требованием выкупа на этом языке. Этот метод также используется в других вымогателях, например, в Jigsaw, Cryptlock и Reveton.

Новый вариант Locky был замечен исследователями на бразильском сайте киберпреступников, но он также открыто распространяется в Facebook.

Ведомства не спешат уходить в MAX полностью

Не все государственные ведомства и их региональные подразделения спешат полностью переносить свою онлайн-активность в мессенджер MAX. Более того, есть примеры, когда после официального объявления о «переезде» некоторые из них снова возобновляли работу телеграм-каналов.

На эту тенденцию обратили внимание «Ведомости». Корреспонденты издания выяснили, что ряд территориальных подразделений МЧС — в частности, по Дагестану, Оренбургской и Свердловской областям — вернулись в Telegram, несмотря на ранее заявленный полный перенос коммуникаций в MAX.

Центральный аппарат МЧС при этом также продолжал публиковать новости в Telegram, но в усечённом формате «заголовок + лид». Полные версии сообщений ведомство размещало уже в MAX.

«В настоящее время на постоянной основе переход в национальный мессенджер организован территориальными органами МЧС России во всех федеральных округах. Территориальными подразделениями МЧС России продолжается ведение телеграм-каналов. В частности, посредством него подписчиков приглашают присоединиться к каналу в национальном мессенджере MAX», — сообщили в пресс-службе МЧС в ответ на запрос издания.

По оценке «Ведомостей», большинство федеральных и региональных ведомств сейчас ведут каналы параллельно — и в MAX, и в Telegram. Единственным исключением стал губернатор Самарской области Вячеслав Федорищев, который удалил свой телеграм-канал в сентябре 2025 года. Поводом стали последствия его попытки вмешаться в конфликт между певцом Егором Кридом и главой Лиги безопасного интернета Екатериной Мизулиной.

Заместитель генерального директора АНО «Диалог регионы» Андрей Цепелев назвал такую практику вполне обычной. По его словам, параллельное присутствие в нескольких мессенджерах позволяет охватить более широкую аудиторию, что особенно важно для экстренных служб. «MAX в сегменте госпабликов растёт очень быстро. Мы видим около 100 000 каналов с общим числом подписчиков порядка 9 млн», — отметил он.

При этом есть и примеры, когда каналы региональных властей в MAX оказываются более популярными, чем в Telegram. В качестве таких кейсов «Ведомости» приводят паблик Управления образования Пятигорска и канал МФЦ Сальского района Ростовской области.

Как показало наше исследование, мессенджер MAX в целом не сильно отличается от аналогов с точки зрения сбора личных данных и запрашиваемых разрешений. При этом в сервисе случаются технические сбои, а также проявляют активность различные мошенники.

Напомним также, что недавняя история о «полном взломе» национального мессенджера MAX оказалась фейком. Распространившуюся в Telegram информацию в самой платформе назвали недостоверной и не имеющей отношения к действительности.

RSS: Новости на портале Anti-Malware.ru