טרולדש במסכה חדשה: גל נוסף של דיוור המוני של וירוס כופר

מתחילת היום ועד היום, מומחי JSOC CERT תיעדו הפצה זדונית מאסיבית של וירוס ההצפנה Troldesh. הפונקציונליות שלו רחבה יותר מאשר רק של מוצפן: בנוסף למודול ההצפנה, יש לו את היכולת לשלוט מרחוק בתחנת עבודה ולהוריד מודולים נוספים. במרץ השנה אנחנו כבר מעודכן על מגיפת טרולדש - ואז הנגיף הסתיר את משלוחו באמצעות מכשירי IoT. כעת, גרסאות פגיעות של וורדפרס וממשק cgi-bin משמשות לכך.

הדיוור נשלח מכתובות שונות ומכיל בגוף המכתב קישור למשאבי אינטרנט שנפגעו עם רכיבי וורדפרס. הקישור מכיל ארכיון המכיל סקריפט ב-Javascript. כתוצאה מביצועו, מוצפן Troldesh מוריד ומופעל.

מיילים זדוניים אינם מזוהים על ידי רוב כלי האבטחה מכיוון שהם מכילים קישור למשאב אינטרנט לגיטימי, אך תוכנת הכופר עצמה מזוהה כיום על ידי רוב יצרני תוכנות האנטי-וירוס. הערה: מכיוון שהתוכנה הזדונית מתקשרת עם שרתי C&C הממוקמים ברשת Tor, ייתכן שניתן להוריד מודולי עומס חיצוניים נוספים למחשב הנגוע שיכולים "להעשיר" אותו.

חלק מהמאפיינים הכלליים של ניוזלטר זה כוללים:

(1) דוגמה לנושא עלון - "על הזמנה"

(2) כל הקישורים דומים חיצונית - הם מכילים את מילות המפתח /wp-content/ ו-/doc/, לדוגמה:
Horsesmouth[.]org/wp-content/themes/InspiredBits/images/dummy/doc/doc/
www.montessori-academy[.]org/wp-content/themes/campus/mythology-core/core-assets/images/social-icons/long-shadow/doc/
chestnutplacejp[.]com/wp-content/ai1wm-backups/doc/

(3) התוכנה הזדונית ניגשת לשרתי בקרה שונים באמצעות Tor

(4) נוצר קובץ שם קובץ: C:ProgramDataWindowscsrss.exe, רשום ברישום בענף SOFTWAREMicrosoftWindowsCurrentVersionRun (שם הפרמטר - Client Server Runtime Subsystem).

אנו ממליצים לוודא שמאגרי המידע של תוכנות האנטי-וירוס שלכם מעודכנים, לשקול ליידע את העובדים על האיום הזה, וגם, אם אפשר, לחזק את השליטה על מכתבים נכנסים עם התסמינים לעיל.

מקור: www.habr.com