Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Исследователь Emsisoft: Вымогатель RSAUtil распространяется через RDP

Автор недавно обнаруженного вымогателя распространяет свой продукт путем взлома служб протокола удалённого рабочего стола (RDP, Remote Desktop Protocol).

Вредонос получил имя RSAUtil, написан на Delphi и добавляет расширение .helppme@india.com.ID83994902 к зашифрованным файлам, об этом в твиттере написал исследователь Emsisoft. Вредоносная программа также копирует в каждую папку текстовый файл с именем How_return_files.txt, который содержит инструкции по выкупу.

Как отмечает Лоренс Абрамс (Lawrence Abrams) из BleepingComputer, помимо самой вредоносной программы злоумышленник загружает множество инструментов и конфигурационный файл, предназначенный для параметров запуска вымогателя.

Зловред распространяется вместе с пакетом, предназначенным для подготовки системы к установке RSAUtil. Файл CMD очищает следы того, как машина была скомпрометирована путем очистки журналов событий, еще два файла не позволяют компьютеру переходить в спящий режим, оставляя соединение активным, файл изображения предположительно используется как фон рабочего стола, а bat-файл используется для настройки различных опций.

Существует также файл конфигурации, который вымогатель использует в процессе шифрования. Он проверяет, был ли уже компьютер зашифрован, определяет, какой идентификатор, и какую электронную почту вредоносная программа должна использовать.

Пакет, в который входит RSAUtil имеет имя svchosts.exe. Он сканирует папки компьютера и шифрует файлы пользователя. Он также помещает записку о выкупе в каждую папку, где был зашифрован хоть один файл.

Вредоносная программа не нацелена на какой-то определенный тип файлов, это значит, что многие исполняемые файлы также шифруются. Проанализированные исследователями образцы этого вымогателя добавляют к зашифрованным файлам расширение .helppme@india.com.ID83624883.

По завершению процесса шифрования, RSAUtil отображает экран блокировки, информирующий пользователя о контактах злоумышленника (helppme@india.com или hepl111@aol). Если пользователь заплатит выкуп, он получит ключ дешифровки, который нужно будет ввести на экране блокировки, это восстановит доступ к файлам.

В Telegram замедлилась загрузка медиа: пользователи жалуются на сбои

У российских пользователей Telegram сегодня явно не задался день: лента забита жалобами на то, что мессенджер стал работать ощутимо медленнее. Фото и видео открываются с задержкой, «кружочки» долго думают, истории подгружаются через раз, а голосовые сообщения будто проходят через диалап-модем.

Судя по сообщениям людей, которые передаёт телеграм-канал «Раньше всех. Ну почти», проблемы начались почти одновременно в разных регионах.

Одни говорят, что медиа открываются еле-еле, другие — что приложение вообще отказывается запускаться. Некоторые жалуются, что Telegram пишет «соединение…» и висит на этом бесконечно.

 

На фоне массовых жалоб в Сети уже появилась версия о возможном целенаправленном замедлении работы сервиса на территории России. Однако официальных подтверждений этому нет: ни операторы связи, ни профильные ведомства ситуацию пока не комментируют.

Таким образом, причины резкого падения скорости остаются неизвестными. Пользователи же продолжают делиться скриншотами и друг другу сочувствовать — ведь без быстрого Telegram, как выяснилось, день проходит совсем по-другому.

Напомним, летом Роскомнадзор объявил о блокировке голосовых вызовов в мессенджерах Telegram и WhatsApp (принадлежит признанной в России экстремистской и запрещённой в стране корпорации Meta).

RSS: Новости на портале Anti-Malware.ru