В Eset обнаружили первый саморазмножающийся шифратор

23:22 15.01.2015 |    1143 прочтения



Как и другие известные шифраторы, он блокирует рабочий стол инфицированного компьютера, шифрует файлы и выводит на экран требование выкупа. Но в дополнение к «традиционному» функционалу Win32/Virlock способен также заражать файлы как полиморфный вирус, встраивая в них свой код.

Эксперты антивирусной компании Eset обнаружили новую разновидность трояна-шифратора с уникальным механизмом заражения файлов – Win32/Virlock. Как и другие известные шифраторы, он блокирует рабочий стол инфицированного компьютера, шифрует файлы и выводит на экран требование выкупа. Но в дополнение к «традиционному» функционалу Win32/Virlock способен также заражать файлы как полиморфный вирус, встраивая в них свой код.

При заражении файла, не являющегося исполняемым, Win32/Virlock использует специальную схему. Вместо обычного для данного типа вредоносного кода побайтного шифрования он преобразует файл в исполняемый. Для этого Virlock создает новый файл с зашифрованным содержимым документа и своим кодом, удаляет оригинальный файл и перезаписывает новый с тем же именем, но с расширением .exe. Запуск инфицированного файла сопровождается созданием двух новых, осуществляющих дальнейшее заражение системы. Полиморфизм Win32/Virlock гарантирует уникальность тела вредоносной программы в каждом «обработанном» файле.

Часть кода Win32/Virlock отвечает за отображение экрана блокировки и самозащиту, в том числе завершение процессов «Диспетчера задач». Сообщение в окне блокировки содержит требование о выкупе в размере 250 долл. в биткоин-эквиваленте. Анализ транзакций, проведенных по указанному счету, показал, что некоторые жертвы уже заплатили злоумышленникам.

Специалисты Eset зафиксировали несколько модификаций Win32/Virlock, что указывает на его активное развитие злоумышленниками. Код шифратора свидетельствует о высоком уровне технической подготовки авторов программы.

 


Теги: Информационная безопасность Eset


На ту же тему:
<--- !----->