Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Шифровальщик Locky возвращается к использованию макросов в DOCM-файлах

Вымогатель Locky вернулся к своему первоначальному методу распространения, а именно к использованию офисных документов с вредоносными макросами, предупреждают исследователи FireEye.

Замеченный впервые в феврале, Locky встал особняком, потому что он может шифровать неотображённые сетевые ресурсы, к тому же, он был связан с ботнетом Dridex. Обе угрозы используют макросы для распространения и  получали одни и те же обновления функционала.

Распространясь через ботнеты Dridex и Necurs, Locky быстро стал одной из основных угроз. Был опробован новый метод распространения через вложения JavaScript. А совсем недавно этот шифровальщик для заражения стал использовать скрипты Windows (WSF).

По мнению исследователей FireEye Labs, вымогатель опять начал использовать вредоносные макросы, ориентируюсь как на частные лица, так и на организации. Были затронуты организации в сфере здравоохранения, телекоммуникаций и транспорта.

Спам-кампании поражают цели по всему миру, хотя Соединенные Штаты, Япония и Корея являются главными пострадавшими. Таиланд, Сингапур, Германия, Гонконг, Малайзия, Тайвань и Саудовская Аравия входят в десятку самых атакуемых стран.

Вредоносные документы представляют собой DOCM-файлы, которые после запуска устанавливают вымогатель на компьютер жертвы. Киберпреступники часто прячут вредоносные программы внутри DOCM-документов, затем переименовывая их в DOCX, так как этот формат не поддерживает макросы. Тем не менее, Office распознает эти файлы как DOCM и запускает их вместе с макросами.

Исследователи FireEye заметили, что злоумышленники вернулись к методу с макросами в начале августа, и это привело к увеличению инфицирования Locky. Три массовые кампании были замечены 9 августа, 11 августа и 15 августа.

Эти кампании имеют сходство в использовании макро-кода - "одноразовый" код для загрузки Locky с сервера, вредоносный URL встроенный в макро-код кодируется с помощью той же функции, но с различными ключами для каждой кампании.

«Инструменты и методы, используемые в кампаниях по распространению Locky постоянно меняются. В данном случае мы наблюдаем переход от использования загрузчика на основе JavaScript к использованию макросов в DOCM. Кроме того, тенденции показали, что злоумышленники предпочитают распространять вымогатели, нежели чем банковские трояны, так как это более прибыльно», - говорят исследователи FireEye.

Банковские карты россиян возьмут на карандаш

Банк России взялся за год создать единый реестр платежных карт с тем, чтобы облегчить кредитно-финансовым организациям соблюдение планируемых к вводу лимитов: до 20 карт у гражданина, до пяти в одном банке.

О намерении ЦБ запустить в будущем году такой справочник для отрасли стало известно из выступления в Думе замглавы Минцифры Ивана Лебедева. С его слов, оба регулятора вместе прорабатывали этот вопрос.

«Вы знаете, что это ограничение по банкам — по картам, — цитирует РИА Новости спикера. — Центральный банк взял на себя обязательство в течение года подготовить базу единую по всей стране, из которой будет видно, сколько у каждого гражданина в каком банке оформлено карт.

В конце прошлого года в Госдуму был внесен второй пакет законопроектов в рамках борьбы с кибермошенничеством. В числе прочих мер противодействия было предложено ограничить число банковских карт — до 20 на человека, не более пяти одного и того же эмитента.

Для контроля соблюдения этого требования, способного сдержать рост числа дропов, планировалось запустить специальный сервис.

Напомним, дропперство в России является уголовно наказуемым деянием. Пособникам в проведении мошеннических операций грозит до трёх лет лишения свободы, организаторам схемы — до шести лет.

RSS: Новости на портале Anti-Malware.ru