Ботнет Kelihos недавно переключился на распространение вымогателей. По словам исследователей, вредоносная программа Troldesh как раз стала одной из распространяемых этим ботнетом.
Kelihos активен уже приблизительно восемь лет и смог пережить две попытки уничтожения - в сентябре 2011 года и марте 2012 года. Этот ботнет был известен тем, что распространял в свое время вымогатели MarsJoke и Wildfire.
Как было специалистами, Kelihos распространяет шифровальщик Troldesh посредством спама, содержащего URL-адреса, ведущие на файл JavaScript и документ Microsoft Word. Согласно эксперту, это первый раз, когда ботнет использует файлы JavaScript, для заражения пользователей.
Вредоносная программа шифрует пользовательские файлы и добавляет к ним расширение .no_more_ransom, что является иронической отсылкой к кампании NoMoreRansom, которая была создана для борьбы с вымогателями и помощи их жертвам.
Темы всех спам-писем, распространяющих этого вымогателя намекала на кредитную задолженность. Жертву информировали о якобы имеющейся у нее задолженности и предлагали скачать вложение, чтобы ознакомиться с подробностями. После открытия подобного вложения, происходило инфицирование компьютера вредоносной программой Troldesh.
После того, как файлы зашифрованы, вымогатель отображает пользователю записку с требованием выкупа (как на английском, так и на русском языках) на рабочем столе. Жертве рекомендуется связаться с авторами вредоноса через почту Gmail, чтобы получить инструкции, необходимые для расшифровки файлов. Также указывается, что нужно скачать браузер Tor для доступа к адресам .onion.
Кроме того, Troldesh дополнительно загружает другие вредоносные программы и связывается с командным центром по определенному адресу. Среди загружаемых Troldesh вредоносных программ присутствует Pony – вредонос, похищающий конфиденциальную информацию пользователей.
Эксперты антивирусной компании «Лаборатория Касперского» собрали статистику за 12 месяцев, согласно которой пользователи 930 тыс. раз пытались скачать вредоносные программы под видом популярных нелицензионных игр.
Согласно отчету (PDF), самой привлекательной игрой для скачивания оказалась Minecraft — фейковую копию этой игры пытались скачать более 310 тысяч пользователей.
За Minecraft шли вредоносные программы, маскирующиеся под GTA 5 и Sims 4, — 112 тысяч и почти 105 тысяч соответственно.
Помимо этого, отлично работала схема распространения еще не вышедших новинок игровой индустрии, которые все ждут. Как минимум десятью ожидаемыми релизами прикрывались киберпреступники.
80% вредоносных программ пряталось под масками фейковых FIFA 20, Elder Scrolls 6 и Borderlands 3.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
