«Нет биткоинов? Идите в «обменник» – новый шифровальщик угрожает Байнету

«Этот факт, а также некоторые строки кода позволяют утверждать, что за данной программой стоят русскоговорящие злоумышленники», – подчеркивают специалисты по онлайн-безопасности.

Больше всего заражений приходится на страны СНГ. На первом месте, предсказуемо, – Россия. Беларусь, уступив Украине и Казахстану, – на четвертой позиции.

Единичные заражения обнаружены на территории Грузии, Германии, Болгарии, Турции, ОАЭ и Ливии.

Шифровальщик угрожает личной информации пользователей, а также корпоративным данным: архивам, базам 1С и прочим документам. Общая схема его работы типична: он добавляет свой исполняемый файл в список планировщика задач системы, после чего производит поиск файлов с определенными расширениями, осуществляет их шифрование и показывает пользователю требование выкупа.

Однако его особенностью является полноценное взаимодействие с анонимной сетью Tor без ведома жертвы. Командный сервер злоумышленников находится в Tor, что ранее не встречалось среди шифровальщиков. Возможности дешифровать данные при этом нет – троян защищенно передает ключ на сервер злоумышленников, который маскируется в сети Tor.

«В этом заключается принципиальное отличие нового трояна от других вредоносных программ, прибегающих к анонимности Tor: если раньше злоумышленники пользовались легальным ПО от разработчиков Tor для включения компьютера в эту сеть, то в данном случае код взаимодействия реализован внутри вредоносной программы. Это позволяет ей пользоваться сетью Tor без использования сторонних исполняемых файлов и запуска дополнительных процессов», – отмечают эксперты.

Также обнаруженная модификация трояна отличается нестандартным подходом к шифрованию, с помощью которого дополнительно защищается соединение с командным сервером. В силу этого перехват отправляемой троянцем информации, в частности уникального ключа, которым зашифрованы файлы, не поможет разблокировать данные пользователя.

«Этот шифровальщик – представитель нового поколения вымогателей. Его авторы применили как известные техники, «откатанные» его многочисленными предшественниками, например требование выкупа в валюте Bitcoin, так и абсолютно новые для данного класса вредоносного ПО решения. В частности, сокрытие командного сервера в анонимной сети Tor затрудняет поиск злоумышленников, а использованная необычная криптографическая схема делает расшифровку файлов невозможной даже при перехвате трафика между троянцем и сервером. Все вместе делает его опасной угрозой и одним из самых технологичных шифровальщиков на сегодняшний день», – отметил старший антивирусный аналитик «Лаборатории Касперского» Федор Синицын.

Специалисты также дают рекомендации по противодействию троянам-шифровальщикам.

Резервное копирование должно быть регулярным. Более того, оно обязательно должно осуществляться на носитель, недоступный в обычное время для записи с данной машины (например, на съемный носитель, который отключается сразу после бэкапа). Если пренебречь этим требованием, сохраненные резервные копии будут точно так же зашифрованы зловредом, как и основная версия файла.

Резервные копии необходимы в любой системе, в которой имеются файлы хоть какой-то важности. Даже если бы не было угрозы со стороны вредоносного ПО, не стоит забывать, что всегда возможен банальный отказ оборудования.

Защитный продукт должен быть постоянно включен, никакие его компоненты не должны быть приостановлены, продукт должен иметь свежие базы.