Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

Эксперты Palo Alto Networks наткнулись на новые образцы вымогателя Jaff

WannaCry не единственное семейство вымогателей, активно атакующее организации и пользователей в последнее время. За несколько дней до вспышки атаки WannaCry появилась другая угроза – вымогатель Jaff.

С самого начала Jaff распространялся ботнетом Necurs и использовал дизайн сообщения о выкупе схожий с Locky. Таким образом, исследователи в области безопасности сразу поняли, что авторы нового вымогателя и авторы Locky и Dridex, скорее всего, одни и те же люди.

Первые версии Jaff добавляли к зашифрованным файлам расширение .jaff и требовали выкуп в районе 2 биткойнов. Вектором заражения были .PDF-файлы, отправленные в виде вложений в спам-письмах.

Эксперт Брэд Дункан (Brad Duncan) из Palo Alto Networks утверждает, что в новых вариантах вымогателя расширение .jaff уже не используется, как не используется и схожие с Locky требования выкупа.

Теперь вымогатель добавляет к зашифрованным файлам расширение .wlu и использует в сообщении о выкупе зеленые шрифты на темном фоне. Исследователь безопасности также заметил, что авторы просят выкуп в размере 0.30030347 биткойнов.

Первые спам-рассылки, распространяющие новый вариант вредоноса, были замечены во вторник, 23 мая. Эти письма содержат вложение PDF, в котором находится документ Word с вредоносными макросами, предназначенными для заражения компьютера.

«Макросы Word генерируют начальный URL-адрес для загрузки закодированного двоичного файла Jaff, после чего мы видим еще один URL-адрес для обратного вызова после инфицирования. Исходный HTTP-запрос возвращает закодированный двоичный файл» - рассказывает Дункан.

Как и первые образцы этого вымогателя, новая версия атакует 400 типов файлов.

Подпишитесь на новости

Звук самолёта на видео помог найти место съёмки с точностью около 100 м

Если вы убрали геометку, спрятали вывески и уверены, что место съёмки никто не вычислит, самолёт за кадром может испортить конспирацию. Автор YouTube-канала colsto показал, как почти неразличимый авиационный шум позволяет определить местоположение камеры с точностью примерно до 100 метров.

Метод и результаты эксперимента он представил в видео.

В основе лежит эффект Доплера: при приближении самолёта частота звука повышается, при удалении — снижается. Даже если ухо ничего толком не замечает, на спектрограмме остаётся характерная кривая. Её можно сопоставить с открытыми данными ADS-B о положении, скорости и высоте самолётов.


В демонстрации автор использовал два пролёта с интервалом 920 секунд. Расчёты учитывали рельеф и задержку распространения звука: самолёт уже улетел дальше, а его гул только добрался до микрофона. Дополнительной подсказкой стали промежутки без авиационного шума, они помогли отсеять неподходящие места.


В отдельном тесте минутная запись с известным временем позволила поставить реальное место съёмки на первое место среди кандидатов при поиске по континентальной территории США. Код и инструменты автор не публикует.

RSS: Новости на портале Anti-Malware.ru