28 января 2015
Обнаружен первый саморазмножающийся троян-шифратор
Эксперты компании «ESET» обнаружили новую разновидность трояна-шифратора с уникальным механизмом заражения файлов – Win32/Virlock. Код вируса свидетельствует о высоком уровне технической подготовки авторов программы. Специалисты ESET зафиксировали несколько модификаций Win32/Virlock, что указывает на его активное развитие злоумышленниками.
Сообщение в окне блокировки содержит требование о выкупе в размере 250 долларов в биткоин-эквиваленте. Анализ транзакций показал, что некоторые жертвы уже заплатили злоумышленникам.
Код вредоносной программы способен выполнять локализацию экрана блокировки. Для этого используется соединение с google.com и определение перенаправления на локальный домен (например, google.ru, google.co.uk и др.). В некоторых странах на экране блокировки отображается государственный флаг, стоимость биткоина и курс национальной валюты.
Win32/Virlock блокирует рабочий стол инфицированного компьютера, шифрует файлы и выводит на экран требование выкупа. В дополнение к «традиционному» функционалу он заражает файлы как полиморфный вирус, который при заражении новых файлов и системных областей диска шифрует собственный код. Полиморфизм Win32/Virlock обеспечивает уникальность вредоносной программы в каждом «обработанном» файле.
Win32/Virlock заражает файлы следующих форматов: .exe, .doc, .xls, .zip, .rar, .pdf, .ppt, .mp3, .png, .gif, .jpg. Он компрометирует файлы на сетевых дисках и съемных носителях. При заражении файлов, не являющихся исполняемыми, Virlock преобразует их в исполняемые. При этом он создает новый файл с зашифрованным содержимым документа и своим кодом, удаляет оригинальный файл и перезаписывает новый с тем же именем и присваивает им расширение .exe.
Запуск инфицированного файла сопровождается созданием двух новых, осуществляющих дальнейшее заражение системы. Часть кода трояна-шифратора обеспечивает отображение экрана блокировки, самозащиту и завершение процессов «Диспетчера задач».
