Hackerii au îmbunătăţit un program de tip ransomware pentru furtul de date din computerele companiilor – Kaspersky

Noua versiune a programului de tip ransomware RAA este scrisă în întregime în Jscript şi este un nou troian care le trimite victimelor o arhivă zip care conţine un fişier malware în format .js.

‘Programul ransomware RAA şi-a făcut apariţia în peisajul ameninţărilor cibernetice în iunie 2016 şi a fost primul ransomware scris doar în Jscript. În luna august, experţii Kaspersky Lab au descoperit o nouă versiune. La fel ca precedentele, aceasta este distribuită pe e-mail, dar acum codul malware este ascuns într-o arhivă zip protejată cu parolă. Măsura a fost implementată de infractori în special pentru a păcăli soluţiile AV, având în vedere dificultatea mai mare de a examina conţinutul unei arhive protejate. După analiza e-mail-urilor, experţii Kaspersky Lab au ajuns la concluzia că infractorii vizează mai mult companiile, cu e-mail-uri infectate care conţin informaţii despre un ordin de plată întârziat, din partea unui furnizor. Pentru ca e-mail-urile să pară autentice, explicaţia lor era aceea că, din motive de securitate, documentul din anexă a fost protejat (parola pentru arhivă era oferită la finalul e-mail-ului), inclusiv prin criptare asimetrică, suplimentar. Această declaraţie pare ridicolă pentru utilizatorii de Internet avizaţi, dar este plauzibilă pentru victimele credule’, subliniază specialiştii.

Potrivit sursei citate, procesul ulterior de infectare este similar cu cel folosit la versiunea anterioară de RAA ransomware, respectiv victima deschide fişierul .js, care îşi începe acţiunea, iar pentru a-i distrage atenţia acesteia, troianul afişează un document fals cu un set aleatoriu de caractere.

‘În timp ce victima încearcă să înţeleagă ce se întâmplă, programul RAA criptează fişierele din dispozitiv. În fine, programul ransomware creează pe desktop o notă în care solicită răscumpărarea şi toate fişierele criptate primesc o nouă extensie .locked (…) Odată ce răscumpărarea este plătită, infractorii îi solicită utilizatorului să le trimită master key-ul criptat, care îi va fi returnat victimei decriptat, împreună cu o parte din software-ul de decriptare. Metoda a fost aleasă, evident, pentru a permite programului malware să cripteze şi dispozitive off-line, nu doar pe cele care se pot conecta la Internet’, se arată în comunicarea Kaspersky Lab.

Mai mult decât atât, împreună cu programul ransomware RAA, victima primeşte şi troianul Pony, care este capabil să fure parole de la toţi clienţii de e-mail, inclusiv de la utilizatorii comerciali, şi să le trimită unui atacator aflat la distanţă.

Kaspersky Lab este o companie globală de securitate cibernetică, fondată în anul 1997, ce protejează, în prezent, peste 400 de milioane de utilizatori individuali şi 270.000 de companii client.