Ransom mac os filecoder что это
Обновлено: 03.07.2024
In this article you will find about the definition of Ransom:MacOS/Filecoder as well as its negative impact on your computer system. Such ransomware are a form of malware that is clarified by online frauds to require paying the ransom by a victim.
It is better to prevent, than repair and repent!
When we talk about the intrusion of unfamiliar programs into your computer’s work, the proverb “Forewarned is forearmed” describes the situation as accurately as possible. Gridinsoft Anti-Malware is exactly the tool that is always useful to have in your armory: fast, efficient, up-to-date. It is appropriate to use it as an emergency help at the slightest suspicion of infection.Ransom:MacOS/Filecoder Summary
These adjustments can be as follows:
Everything you run, type, or click on your computer goes through the memory. This includes passwords, bank account numbers, emails, and other confidential information. With this vulnerability, there is the potential for a malicious program to read that data.
Ransom:MacOS/Filecoder
- By ways of phishing emails;
- As a repercussion of individual winding up on a resource that organizes a malicious software;
Ransom:MacOS/Filecoder circulation channels.
In different edges of the world, Ransom:MacOS/Filecoder expands by jumps as well as bounds. However, the ransom notes as well as techniques of extorting the ransom money amount may vary depending upon certain neighborhood (regional) setups. The ransom money notes and also techniques of obtaining the ransom money amount might differ depending on certain neighborhood (regional) settings.
Faulty alerts concerning unlicensed software application.
Faulty statements regarding prohibited material.
In countries where software program piracy is less popular, this approach is not as efficient for the cyber scams. Conversely, the Ransom:MacOS/Filecoder popup alert may incorrectly claim to be originating from a law enforcement institution as well as will certainly report having situated kid pornography or various other unlawful information on the device.
Ransom:MacOS/Filecoder popup alert might wrongly assert to be acquiring from a regulation enforcement establishment and will report having situated youngster porn or other unlawful information on the device. The alert will similarly have a need for the individual to pay the ransom.
Technical details
Ransom:MacOS/Filecoder also known as:
How to remove Ransom:MacOS/Filecoder ransomware?
Unwanted application has ofter come with other viruses and spyware. This threats can steal account credentials, or crypt your documents for ransom.
Reasons why I would recommend GridinSoft 1
There is no better way to recognize, remove and prevent PC threats than to use an anti-malware software from GridinSoft 2 .
Download GridinSoft Anti-Malware.
You can download GridinSoft Anti-Malware by clicking the button below:
Run the setup file.
When setup file has finished downloading, double-click on the setup-antimalware-fix.exe file to install GridinSoft Anti-Malware on your system.
An User Account Control asking you about to allow GridinSoft Anti-Malware to make changes to your device. So, you should click “Yes” to continue with the installation.
Once installed, Anti-Malware will automatically run.
Wait for the Anti-Malware scan to complete.
GridinSoft Anti-Malware will automatically start scanning your system for Ransom:MacOS/Filecoder files and other malicious programs. This process can take a 20-30 minutes, so I suggest you periodically check on the status of the scan process.
When the scan has finished, you will see the list of infections that GridinSoft Anti-Malware has detected. To remove them click on the “Clean Now” button in right corner.
Are Your Protected?
Full version of GridinSoft Anti-Malware
If the guide doesn’t help you to remove Ransom:MacOS/Filecoder you can always ask me in the comments for getting help.
In this article you will certainly locate regarding the definition of Ransom:MacOS/ScarletFlash.A and its unfavorable impact on your computer. Such ransomware are a form of malware that is elaborated by online scams to demand paying the ransom by a victim.
It is better to prevent, than repair and repent!
When we talk about the intrusion of unfamiliar programs into your computer’s work, the proverb “Forewarned is forearmed” describes the situation as accurately as possible. Gridinsoft Anti-Malware is exactly the tool that is always useful to have in your armory: fast, efficient, up-to-date. It is appropriate to use it as an emergency help at the slightest suspicion of infection.Ransom:MacOS/ScarletFlash.A Summary
These adjustments can be as complies with:
Ransom:MacOS/ScarletFlash.A
- By means of phishing e-mails;
- As an effect of customer ending up on a source that organizes a destructive software program;
Ransom:MacOS/ScarletFlash.A distribution networks.
In various corners of the globe, Ransom:MacOS/ScarletFlash.A expands by jumps and bounds. Nonetheless, the ransom notes and techniques of obtaining the ransom quantity may vary relying on specific regional (local) settings. The ransom money notes as well as techniques of obtaining the ransom money amount may vary depending on particular regional (regional) settings.
Faulty alerts concerning unlicensed software.
Faulty declarations about illegal web content.
In nations where software program piracy is much less popular, this technique is not as reliable for the cyber scams. Conversely, the Ransom:MacOS/ScarletFlash.A popup alert may wrongly declare to be originating from a police organization as well as will certainly report having located kid porn or other prohibited information on the device.
Ransom:MacOS/ScarletFlash.A popup alert might incorrectly declare to be deriving from a regulation enforcement organization and will report having situated kid porn or other prohibited information on the device. The alert will in a similar way contain a demand for the individual to pay the ransom.
Technical details
Ransom:MacOS/ScarletFlash.A also known as:
How to remove Ransom:MacOS/ScarletFlash.A virus?
Unwanted application has ofter come with other viruses and spyware. This threats can steal account credentials, or crypt your documents for ransom.
Reasons why I would recommend GridinSoft 1
There is no better way to recognize, remove and prevent PC threats than to use an anti-malware software from GridinSoft 2 .
Download GridinSoft Anti-Malware.
You can download GridinSoft Anti-Malware by clicking the button below:
Run the setup file.
When setup file has finished downloading, double-click on the setup-antimalware-fix.exe file to install GridinSoft Anti-Malware on your system.
An User Account Control asking you about to allow GridinSoft Anti-Malware to make changes to your device. So, you should click “Yes” to continue with the installation.
Once installed, Anti-Malware will automatically run.
Wait for the Anti-Malware scan to complete.
GridinSoft Anti-Malware will automatically start scanning your system for Ransom:MacOS/ScarletFlash.A files and other malicious programs. This process can take a 20-30 minutes, so I suggest you periodically check on the status of the scan process.
When the scan has finished, you will see the list of infections that GridinSoft Anti-Malware has detected. To remove them click on the “Clean Now” button in right corner.
Are Your Protected?
In this article you will discover about the meaning of Ransom:Win32/Filecoder.A as well as its negative effect on your computer system. Such ransomware are a type of malware that is clarified by on-line scams to require paying the ransom by a target.
It is better to prevent, than repair and repent!
When we talk about the intrusion of unfamiliar programs into your computer’s work, the proverb “Forewarned is forearmed” describes the situation as accurately as possible. Gridinsoft Anti-Malware is exactly the tool that is always useful to have in your armory: fast, efficient, up-to-date. It is appropriate to use it as an emergency help at the slightest suspicion of infection.Ransom:Win32/Filecoder.A Summary
These alterations can be as follows:
Everything you run, type, or click on your computer goes through the memory. This includes passwords, bank account numbers, emails, and other confidential information. With this vulnerability, there is the potential for a malicious program to read that data.
Similar behavior
Related domains
Ransom:Win32/Filecoder.A
- By means of phishing e-mails;
- As a consequence of individual winding up on a resource that holds a destructive software;
Ransom:Win32/Filecoder.A circulation networks.
In numerous edges of the globe, Ransom:Win32/Filecoder.A grows by jumps and also bounds. Nonetheless, the ransom notes as well as methods of extorting the ransom money quantity may vary depending upon particular regional (local) settings. The ransom money notes as well as methods of obtaining the ransom money quantity might vary depending on particular neighborhood (regional) setups.
Faulty informs regarding unlicensed software program.
Faulty declarations concerning unlawful content.
In countries where software piracy is less popular, this method is not as efficient for the cyber fraudulences. Conversely, the Ransom:Win32/Filecoder.A popup alert might incorrectly assert to be deriving from a law enforcement establishment and also will report having situated youngster pornography or various other illegal information on the tool.
Ransom:Win32/Filecoder.A popup alert may falsely assert to be acquiring from a law enforcement institution and will certainly report having situated youngster porn or various other prohibited information on the device. The alert will in a similar way consist of a demand for the individual to pay the ransom.
Technical details
Ransom:Win32/Filecoder.A also known as:
How to remove Ransom:Win32/Filecoder.A ransomware?
Unwanted application has ofter come with other viruses and spyware. This threats can steal account credentials, or crypt your documents for ransom.
Reasons why I would recommend GridinSoft 1
Download GridinSoft Anti-Malware.
You can download GridinSoft Anti-Malware by clicking the button below:
Run the setup file.
When setup file has finished downloading, double-click on the setup-antimalware-fix.exe file to install GridinSoft Anti-Malware on your system.
An User Account Control asking you about to allow GridinSoft Anti-Malware to make changes to your device. So, you should click “Yes” to continue with the installation.
Once installed, Anti-Malware will automatically run.
Wait for the Anti-Malware scan to complete.
GridinSoft Anti-Malware will automatically start scanning your system for Ransom:Win32/Filecoder.A files and other malicious programs. This process can take a 20-30 minutes, so I suggest you periodically check on the status of the scan process.
When the scan has finished, you will see the list of infections that GridinSoft Anti-Malware has detected. To remove them click on the “Clean Now” button in right corner.
Are Your Protected?
В прошлых статьях мы описывали несколько нашумевших в зарубежных СМИ шифровальщиков. Однако в русскоязычном сегменте Паутины сегодня правят бал не CryptoWall и не CTB-Locker — на нашей родине сформировалась «экосистема» из других видов троянов-вымогателей, в большинстве своем не выходящих на мировую арену. Сегодня мы познакомимся с некоторыми из них, а в качестве бонуса пробежимся по модным тенденциям мирового ransomware-строения.
Общие закономерности
- Большинство отечественных троянов-вымогателей, в отличие от своих любящих публичность коллег (CryptoLocker, CryptoWall, TorrentLocker, TeslaCrypt), никак не афишируют свое название.
- Авторы троянов часто используют «простые» средства разработки, готовые утилиты для шифрования, иногда даже обычные архиваторы, что дает повод задуматься о квалификации писателей малвари. Разумеется, из этого правила встречаются исключения.
Trojan-Ransom.Win32.Rakhni
Обычно этот троян распространяется в неупакованном виде. Открываем файл в Hiew (рис. 1) и сразу видим характерные устрашающие фразы, адрес почты злоумышленника, а также список расширений, по которым будет производиться поиск файлов. Опытный взгляд определит, что файл написан в среде Delphi (та-ак, а кто тут говорил, что на Delphi больше не пишут? 🙂 — Прим. ред.), проверить это можно с помощью PEiD, Detect It Easy или любого другого удобного инструмента. По строкам в конце файла также легко обнаружить, что использована библиотека DCPCrypt2, — можно предположить, что реализация криптоалгоритмов взята именно оттуда (в дальнейшем это подтвердилось).
Рис. 1. Семпл Rakhni при просмотре в Hiew
Для анализа написанных на Delphi семплов удобно воспользоваться Interactive Delphi Reconstructor — можно разбирать прямо в нем, а можно сгенерировать IDC-скрипт для последующего импорта в IDA. Большинство библиотечных функций IDR распознает верно, поэтому пропустим рутину статического анализа и перейдем к самому интересному — результатам.
Поиск файлов для шифрования
Троян проходит по подключенным дискам, ищет файлы по списку расширений, их пути сохраняет в зашифрованном виде в текстовый файл %TEMP%\allfiles.list . Пути шифруются алгоритмом Blowfish в режиме CFB-8, в качестве ключа используется хеш SHA-1 от содержащейся в теле строки lklaljga, а общее число найденных файлов сохраняется в глобальной переменной.
Коммуникация с командным сервером
После завершения поиска всех файлов с подходящими расширениями троян отправляет запрос к C&C:
Здесь install-id — строка, сгенерированная на основе имен машины и пользователя, num-files — число файлов, пригодных для шифрования.
В ответ сервер отдает строку с данными в формате JSON:
Если C&C не ответил, троян не прерывает выполнение — вместо этого он использует один из четырех зашитых в тело вариантов такого JSON-конфига.
Шифрование файлов
Rakhni считывает заранее сгенерированный файл %TEMP%\allfiles.list со списком путей, расшифровывает каждую строку и обрабатывает соответствующий файл. На основе данных из JSON-конфига выбирается один из восемнадцати шифров:
- Blowfish;
- Cast128;
- Cast256;
- DES;
- ГОСТ;
- ICE;
- IDEA;
- MARS;
- MISTY1;
- 3DES;
- RC4;
- RC5;
- RC6;
- Rijndael (основа стандарта AES);
- Serpent;
- TEA;
- Twofish;
- RC2
и один из девяти хешей:
- SHA-1;
- SHA-256;
- SHA-512;
- MD4;
- MD5;
- HAVAL;
- RIPEMD-128;
- RIPEMD-160;
- Tiger.
Затем генерируется соль заданной длины, пароль из конфига хешируется с солью, результат используется как ключ для выбранного шифра. IV генерируется каждый раз новый (впоследствии, как и соль, он сохраняется в начале зашифрованного файла). Содержимое каждого файла затем шифруется в выбранном режиме (CBC, CFB-8, CFB, OFB либо CTR).
Ссылки для тех, кто хочет познакомиться с типами шифров и режимами их работы либо освежить знания:
На этом, однако, современный семпл Rakhni не останавливается. Чтобы еще сильнее напакостить, он шифрует и имя файла — в качестве параметров шифрования использует поля Ct, Ht, KeyStr из конфига, хеширует без соли, режим шифра берет CFB-8. Полученный массив зашифрованных байтов кодирует в Base64, а иногда попадающиеся символы / заменяет строкой . В итоге зашифрованный файл получает выглядящее подобным образом имя:
Требования злоумышленника троян сохраняет в файлах КаК_РаСшИфРоВаТь_ФаЙлЫ.html .
Другие особенности
Как и многие другие криптовымогатели, Rakhni удаляет теневые копии, однако делает это он необычным способом. Он дропает на диск и запускает VBS-скрипт, а тот выполняет запрос к системе WMI (классу Win32_ShadowCopy ), чтобы удалить имеющиеся предыдущие версии файлов. Зачем это сделано именно так? Можно предположить, что таким образом автор пытается обмануть проактивный детект антивирусов.
Trojan-Ransom.Win32.Cryakl
Он же Ransom:Win32/Simlosap.A, Trojan.Encoder.567, Win32/Filecoder.CQ.
«Лаборатория Касперского» год назад опубликовала разбор актуальной на тот момент версии этого трояна. Сейчас же мы рассмотрим современный образец и увидим, что изменилось за прошедшие месяцы.
Cryakl обычно распространяется в упакованном виде. Мне встречались семплы, упакованные Armadillo, но в последнее время чаще применяется самописный пакер на Visual Basic. Действует он незамысловато: расшифровывает полезную нагрузку в виде оригинального PE, запускает копию своего процесса и внедряет в него целевой код.
Пакер снимается тривиально: ставим точку останова на CreateProcess , когда она срабатывает, ищем регион с правами RW, размером около 400 Кбайт и располагающийся перед адресами, по которым спроецированы системные DLL
На рис. 2 видно, что этот регион действительно содержит нечто похожее на PE-файл. Дампим регион, извлекаем из него нетронутый оригинальный PE.
Рис. 2. Снимаем VB-пакер
Рассматриваем распакованный семпл, при помощи подручных средств определяем компилятор (Delphi 6.0–7.0 — 2001–2002 года выпуска, между прочим!), загружаем файл в IDR, IDA или другой инструмент для статического анализа. Строки FGIntPrimeGeneration , FGInt , FGIntRSA , содержащиеся внутри тела, наталкивают на мысль, что троян использует стороннюю реализацию RSA. Исходники библиотеки FGInt, которые можно найти с помощью любого поисковика, сильно помогают в процессе разбора. Кстати, реализация RSA в этой библиотеке вызывает отдельные размышления о судьбах мира, потому как работа с большими числами в процедуре RSAEncrypt производится с помощью строкового представления в двоичной системе (то есть вместо числа 0x123 библиотека будет работать со строкой "100100011" = "\x31\x30\x30\x31\x30\x30\x30\x31\x31" ).
Генерация ключей
После старта троян генерирует идентификатор заражения в формате id = <случайная строка>-<дата и время>@<случайное число> , а также несколько ключей для разных алгоритмов:
- simpass (2048 символов латинского алфавита в верхнем регистре) и poly (20 цифр от 0 до 9) для самописного симметричного шифра многозначной замены;
- пару ключей RSA-768 ( rsaPub = (n,e), rsaPriv = (n,d) , где e = 65537, n и d генерируются по самодельной схеме).
В теле Cryakl зашиты еще три открытых ключа RSA-768 от злоумышленника. Когда вышеуказанные ключевые данные сгенерированы, они представляются в виде строк, затем каждая из них конкатенируется со строкой asshole и шифруется RSA на каждом из трех зашитых в теле ключей. Полученные шифрованные данные склеиваются через символ : и сохраняются в глобальной переменной — назовем ее encrypedKeyData .
Шифрование файлов
На основе simpass для каждого файла генерируется свой «файловый ключ» fileKey длиной 30 000 байт.
Первые 30 000 байт содержимого файла шифруются на fileKey и poly симметричным алгоритмом, который можно в виде псевдокода представить так:
Процедура TransformByte представляет собой десять преобразований байта открытого текста на основе байта fileKey и байта poly :
Если файл был длиннее 30 000 байт, троян выбирает три случайных блока по 1024 байт длиной и каждый из них шифрует RSA со сгенерированным при старте процесса открытым ключом.
После завершения этих действий Cryakl формирует служебную структуру и помещает ее в конце зашифрованного файла. Формат структуры выглядит так:
Зашифрованный файл в итоге переименовывается по схеме:
Коммуникация с командным сервером
Запрос, отправляемый на C&C, имеет формат:
В ответ ожидается строка GOOD . Впрочем, если «отстук» не удался, троян не останавливается и все равно приступает к шифрованию файлов.
Другие особенности
На рабочий стол Cryakl ставит изображение, хранящееся в ресурсах семпла в формате JPG. При этом троян сначала сохраняет свой ресурс в файл desk.jpg , затем конвертирует его в BMP при помощи классов TJPEGImage и TBitmap и уже BMP ставит на рабочий стол.
Автор трояна в качестве изображения обычно выбирает разных популярных персонажей. Если в статье «Лаборатории Касперского» бушевал Фантомас, то на этот раз главным героем стал герой «Южного парка» (рис. 3).
Рис. 3. Обои Cryakl
Trojan-Ransom.Win32.Aura
Это один из немногих шифровальщиков, разные версии которого атакуют жертв как в СНГ, так и в странах дальнего зарубежья. Известен также под именами Ransom:Win32/Isda, Trojan:W32/BandarChor, Trojan.Encoder.741.
Как и два предыдущих трояна, Aura написан на Delphi. Распространяется он в различном виде, чаще всего под пакерами, иногда даже многослойными (например, UPX + VB-пакер + UPX, ASPack + VB-пакер + UPX). После распаковки видим, что, в отличие от Rakhni и Cryakl, «полезная нагрузка» в которых начиналась сразу по точке входа, в Aura исполнение начинается со стандартной процедуры инициализации формы (рис. 4). Чтобы понять, где же сама полезная нагрузка, придется просмотреть все обработчики событий. В рассматриваемом семпле подготовка к работе производится в TForm1.FormCreate , а поиск и шифрование файлов — в TForm1.Timer1Timer .
Рис. 4. Код по точке входа Aura
Коммуникация с командным сервером
Параметр number означает длину запрашиваемого пароля, в ответ на этот запрос C&C присылает строку символов длины (в нашем случае — 255). Рассматриваемая модификация Aura разбивает эту строку на восемь частей, которые впоследствии берутся для шифрования файлов. Другие модификации этого не делают, а используют пароль одним «куском». В виде псевдокода схему разбиения можно представить в виде:
Шифрование файлов
Перед тем как приступить к поиску файлов, Aura использует незамысловатый антиэмуляционный трюк — вызов API-функции с некорректными параметрами и проверка возвращаемого значения.
Явных указаний, откуда взята реализация криптографии, в теле семпла не нашлось (строка StreamAES, конечно, намекает, но поиск по ней готового ответа не дал). Поэтому по константам подтверждаем предположение, что это действительно AES, анализируя (статически или динамически), выясняем, что использован режим CBC. Никакой процедуры превращения пароля в ключ не предусмотрено — просто берутся первые 16 байт пароля. В качестве IV используется всегда одно и то же значение — 16 байт от 0 до 15.
На этом шифрование первого слоя завершено, и троян повторяет те же действия с паролями passwordPart2, . passwordPart8. В итоге первые 30 000 байт файла оказываются зашифрованы восемь раз, а в конце зашифрованного файла формируется структура из восьми блоков — по одному для каждого слоя:
Другие особенности
Рис. 5. Обои Aura на тему Эболы Рис. 6. Обои Aura с изображением Сноудена
Trojan-Ransom.Win32.Shade
Также известен как Ransom:Win32/Troldesh, Trojan.Encoder.858, Win32/Filecoder.ED; как и у остальных рассмотренных шифровальщиков, авторское название неизвестно. Не так давно был опубликован достаточно подробный обзор этого трояна, поэтому кратко перечислим его основные отличительные особенности и рассмотрим небольшие изменения, которые произошли со времени той публикации.
Shade написан на C++, распространяется обычно в упакованном виде (разные самодельные пакеры + UPX). Недавно были обнаружены случаи распространения Shade в виде PE внутри OLE-контейнера, встроенного в документ «Здравствуйте.docx». Как это выглядит с точки зрения жертвы, видно на рис. 7. Никакого автоматического заражения не происходит — жертве предлагается самостоятельно кликнуть на иконку внутри документа.
Рис. 7. Документ с Shade, открытый в Word
Основная функциональность
Для шифрования файлов троян использует алгоритм AES-256 в режиме CBC, на каждый файл генерирует два ключа: на одном шифрует содержимое, а на другом — имя файла; в качестве IV использует массив из 16 нулевых байт. Эти уникальные ключи AES он затем шифрует алгоритмом RSA на 3072-битном ключе, полученном от C&C, либо (в случае его недоступности) выбранном из набора ключей, зашитых в теле трояна.
Зашифрованные файлы переименовываются в base64(AES(originalName)).xtbl либо originalName.ytbl , если первый вариант по каким-то причинам невозможен. В недавно обнаруженных семплах на смену xtbl пришло расширение breaking_bad , а строку .ytbl заменила строка .heisenberg , что недвусмысленно отсылает к популярному сериалу.
Из других изменений в современных семплах по сравнению со старыми можно назвать и заметно уменьшившийся размер —
780 Кбайт вместо
1,8 Мбайт. Это произошло из-за отказа от линковки с клиентом Tor и вообще от использования C&C в этой анонимной сети.
Дополнительная функциональность
Когда файлы зашифрованы, Shade не завершает свой процесс, а в бесконечном цикле через случайные промежутки времени от одного до двух часов запрашивает у C&C список URL, ведущих на семплы дополнительного вредоносного ПО, которые затем скачивает и устанавливает в систему. Получается, что это не только шифровальщик, но и бот-загрузчик, поэтому настоятельно рекомендую провести полное лечение системы, в которой был обнаружен Shade.
Другие особенности
Из забавных наблюдений: в дампе памяти трояна можно обнаружить «пасхальное яйцо» — строку с обращением к антивирусным аналитикам. На рис. 8 и 9 показаны соответствующие строки из дампов семплов от 3 июня и 24 сентября 2015 года.
Рис. 8. «Пасхальное яйцо» в июньском Shade Рис. 9. «Пасхальное яйцо» в сентябрьском Shade
На закуску
Вкратце пройдемся по необычным криптовымогателям и трендам, наблюдающимся среди шифровальщиков.
Червь-шифровальщик
Полиморфный червь Virus.Win32.PolyRansom (Virus:Win32/Nabucur, W32/VirRnsm, одна из версий его также известна под именем Operation Global III) распространяется по всем доступным ему носителям. Отличие его от других червей в том, что он шифрует файл жертвы (простым алгоритмом xor dword + rol byte), помещает его в зашифрованном виде в тело своей морфированной копии (причем не в оверлей, а внутрь секции) и подменяет этой копией оригинальный файл. Так повторяется для определенного списка расширений, в этот список входит и exe. В результате лечение системы от такого заражения оказывается сложнее, чем от обычных червей и даже PE-инфекторов, ведь, если просто удалить всю малварь, жертва останется без своих файлов.
Когда копию червя запускают, он сам расшифровывает и открывает оригинальный файл, чтобы жертва ничего не заподозрила. Однако уже через несколько минут (когда червь распространится по доступным ему дискам) экран компьютера блокируется в стиле отошедших уже на второй план вымогателей прошлого (рис. 10).
Рис. 10. Экран блокировки PolyRansom
Ransomware as a service
Модель распространения шифровальщиков, основанная на открытой для всех желающих партнерской программе. Грубо говоря, это онлайн-конструктор малвари: после регистрации на веб-ресурсе (как правило, расположенном в сети Tor) любой желающий может сгенерировать семпл и распространять его, как посчитает нужным (напоминаю читателям, что такие действия караются в соответствии с УК РФ). Создатель онлайн-конструктора автоматически забирает себе определенный процент от вырученных таким образом денег.
За последний год появилось по крайней мере два нашумевших в СМИ трояна-вымогателя, следующих этой схеме.
Один из них, Tox (не путать с одноименным децентрализованным мессенджером) был обнаружен в мае 2015 года. По данным сайта bleepingcomputer, за три дня функционирования этого сервиса произошло 900 заражений этим шифровальщиком. Уже в июне автор сервиса раскаялся и принял решение продать его.
Encryptor RaaS
Второй представитель прямо так и называет себя — Encryptor RaaS (Ransomware as a Service). Как выглядит интерфейс конструктора, можно посмотреть на kernelmode. Разработчик трояна заявляет, что его комиссия составит 20% от полученных вымогательством денег.
Интересная особенность — троян специально не трогает файлы с именем wallet.dat . В процедуре проверки имени файла есть такой код:
Сделано это, очевидно, чтобы случайно не лишить жертву способа заплатить выкуп.
Вместо заключения
Компьютерное вымогательство в последние годы набирает все больший размах. Чтобы не стать жертвой, используй здравый смысл и самое свежее ПО, а для всех ценных файлов регулярно и правильно делай резервные копии — они спасут данные не только от малвари, но и от поломки оборудования и других неприятных неожиданностей.
Читайте также: