20 августа 2014
Троянец-шифровальщик, укорененный в Tor
Сотрудники «Лаборатории Касперского» выявили вредоносное приложение, которое способно полноценно взаимодействовать с сетью Tor без предупреждения пользователей. Дешифровка информации при этом невозможна, поскольку троянец-шифровальщик отправляет ключ сразу к злоумышленникам, сервер которых маскируется в среде Tor.
Сначала троянец был внедрен для атаки на англичан, но впоследствии появилась возможность использовать его и по отношению к российским жертвам. Именно по этой причине можно сделать вывод, что вирус был создан русскоговорящими злоумышленниками. К таким предположениям пришли и по другим соображениям – основная часть атак приходится на регионы СНГ.
Принцип работы вредоносного ПО, на первый взгляд, кажется довольно простым: сначала происходит добавление исполняемого файла в перечень задач системы, а затем осуществляется поиск определенных файлов, которые впоследствии подвергаются шифровке и назначению соответствующего выкупа пользователю сети. Главным отличием троянца является его расположение – командный сервер вируса относится к анонимной сети. Такое расположение дает возможность применять сеть, не используя при этом каких-либо исполняемых файлов и при отсутствии осуществления дополнительных процессов.
Выявленная модификация имеет различия и благодаря нестандартному подходу к процедуре шифрования, который позволяет создавать дополнительную защиту при соединении с управляющим сервером. По этой причине невозможно осуществить разблокировку информации пользователей системы.
Благодаря сокрытию основного сервера в данной сети значительно осложняется поиск хакеров. Помимо этого, и расшифровка файлов становится невозможной из-за перехвата трафика по необычной криптографической схеме. Все признаки данного троянца-шифровальщика создают опасную угрозу для пользователей анонимной сети и представляют новые технологии в области шифровальных вирусов.
