Венесуэльского кардиолога обвинили в создании шифровальщиков

Венесуэльского кардиолога обвинили в создании шифровальщиков

В Бруклине огласили обвинения, выдвинутые против жителя Венесуэлы Сагалы Гонсалеса (Moises Luis Zagala Gonzalez), известного в Сети как Nosophoros, Aesculapius и Nebuchadnezzar. Ему инкриминируют создание и использование шифровальщиков, а также пособничество распространению таких вредоносных программ — через торговлю инструментами вымогательства и оказание помощи в проведении атак.

Собранные ФБР свидетельства указывают на то, что врач-кардиолог с двойным гражданством (Венесуэлы и Франции) является автором Jigsaw и билдера Thanos. Программирование он освоил самостоятельно и решил подзаработать приобретенными умениями и навыками, создавая зловредов на продажу.

Шифровальщик Jigsaw примечателен тем, что использует таймер «Судного дня», считающий количество попыток удалить вредоносный код. Если жертва проявляет упорство, становится понятно, что выкупа не будет; в таких случаях вредонос начинает стирать ее файлы.

В конце 2019 года вирусописатель-самоучка начал рекламировать на хакерских форумах новый инструмент — компоновщик Thanos. С его помощью можно создавать уникальные экземпляры вымогательских программ с целью использования или сдачи в аренду. Билдер позволяет, например, кастомизировать записку с требованием выкупа; пользователю также предоставляется возможность красть данные жертвы по выбору (задавая типы файлов), отключать антивирусы, использовать функцию самоудаления зловреда.

Свои творения Гонсалес предоставляет в пользование по лицензии или как услугу — за процент от выручки в рамках партнерской программы. Лицензионное использование до недавних пор контролировалось: вредоносный код периодически связывался с сервером разработчика (арендован в Северной Каролине и уже отключен), чтобы тот мог проверить статус.

Подписчикам сервиса, созданного на основе Thanos, предоставляются услуги техподдержки: в приватных чатах клиентам разъясняют, как использовать билдер, разворачивать зловреда после проникновения в сеть, воровать пароли с компьютеров жертв, создавать биткоин-кошельки для приема выкупа.

Гонсалес также внимательно изучает отзывы с рассказом о проведенных атаках; в тех случаях, когда у жертвы имеется бэкап, он советует ограничиться кражей данных. По оценкам оператора Thanos-сервиса, его услугами параллельно пользуются от 5 до 20 аффилиатов, в том числе иранская APT-группа, избравшая мишенью израильские компании. Плату за услуги вирусописатель принимает в биткоинах, монеро и фиатной валюте, для которой использует PayPal-аккаунт своего родственника, проживающего во Флориде.

В США возбудили уголовное дело по фактам попыток вмешательства в работу компьютеров и преступного сговора с целью такого вторжения. Если Гонсалеса удастся заполучить и предать суду, его могут по совокупности посадить на 10 лет.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Мошенники заманивают жертв сообщениями от имени настоящих компаний

Аферисты используют форму обратной связи с официального сайта. Рассылка служит крючком для перевода на ресурс, где жертву “разводят” на участие в суперакции. О всплеске мошеннических рассылок Anti-Malware.ru рассказали в “Лаборатории Касперского”.

Речь идет о сообщениях, которые отправляются с официальных сайтов компаний без ведома владельца. За лето эксперты по кибербезопасности насчитали 600 тысяч таких писем.

Схема известна давно, но работает до сих пор. Мошенники находят сайты с формой обратной связи, регистрацией пользователей или техподдержкой, которые не требуют верификации через CAPTCHA.

Вместо имен и логинов хакеры печатают короткое скам-сообщение: “Вы выиграли! Пройдите по ссылке”. В некоторых случаях — добавляют развёрнутый текст с картинками в поле самого обращения. В “Контакты для связи” вносятся почтовые адреса потенциальных жертв.

В итоге получателю приходит автоматически сформированное письмо с благодарностью за регистрацию или уведомление о принятии обращения. В этом же письме содержится крючок, на который пытаются посадить жертву.

Чаще всего адресату обещают лёгкий заработок или подарок. Для получения нужно перейти по ссылке. Жертва попадает на сайт, где ей предлагают пройти опрос, принять участие в акции или получить социальную выплату.

Маркер всегда один — прежде чем получить выигрыш, нужно заплатить “комиссию”. На выходе “счастливчик” теряет деньги и персональные данные. Для убедительности на подобных страницах размещают фальшивые отзывы других благодарных пользователей.

Из ходовых легенд в летних скам-сообщениях — участие в вымышленной акции мессенджеров и моментальная выплата до пяти тысяч долларов. Часто шлют уведомление от платформы по автоматическому сбору денежных бонусов.

“Опасность этой схемы в том, что письма приходят с легитимного адреса, — говорит Андрей Ковтун, руководитель группы защиты от почтовых угроз в “Лаборатории Касперского”. — Это известный и актуальный прием среди злоумышленников, которые эксплуатируют недоработки на сайтах”.

Пользователь кликает по ссылке, не обратив внимание на вёрстку и несоответствие темы письма его содержанию. Мошенники применяют этот приём и для обхода антифишинговых и антиспам-технологий.

Эксперты призывают пользователей быть внимательными и помнить, что “бесплатный сыр” бывает обычно в мошеннических рассылках.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru