Компания «Доктор Веб» предупреждает о появлении новой вредоносной программы, шифрующей файлы на инфицированном компьютере с целью получения выкупа.
Зловред представляет собой программу-загрузчик, распространяющуюся по электронной почте. Основное предназначение этого приложения — скачивание и запуск трояна-шифровальщика Trojan.Encoder.686, представляющего для пользователей серьёзную угрозу, поскольку пострадавшие от его действия файлы в настоящее время не поддаются расшифровке.
Вредоносная программа рассылается в виде вложенного в сообщения ZIP-архива. Он содержит .SCR-файл — к данному типу по умолчанию относятся скринсейверы (заставки) Windows. При попытке запуска файла из архива зловред извлекает из своего тела, сохраняет на диск и открывает на экране атакуемого компьютера текстовый RTF-документ.
Одновременно устанавливается соединение с одним из принадлежащих злоумышленникам удалённых серверов, с которого на ПК загружаются компоненты шифровальщика Trojan.Encoder.686. Успешно инициализировавшись на зараженном компьютере, троян выполняет шифрование пользовательских файлов, после чего демонстрирует на экране заранее сформированное злоумышленниками сообщение.
Любопытно, что преступники отводят своим жертвам лишь 96 часов на оплату расшифровки файлов, угрожая при этом, что в случае отказа от сотрудничества все данные будут потеряны навсегда. При этом за подробной информацией об условиях и сумме выкупа киберпреступники предлагают пострадавшим пользователям обратиться на сайт, расположенный в анонимной сети TOR.
Троян собран с использованием библиотек TOR и OpenSSL, криптографию которых активно использует. В процессе шифрования активно эксплуатируются возможности CryptoAPI с целью получения случайных данных и эллиптическая криптография, в связи с чем расшифровка пострадавших файлов в настоящий момент не представляется возможной.
