새로운 가면을 쓴 Troldesh: 랜섬웨어 바이러스의 또 다른 대량 메일 발송 물결

오늘 초부터 현재까지 JSOC CERT 전문가들은 Troldesh 암호화 바이러스의 대규모 악성 배포를 기록했습니다. 그 기능은 암호화기의 기능보다 더 광범위합니다. 암호화 모듈 외에도 워크스테이션을 원격으로 제어하고 추가 모듈을 다운로드할 수 있는 기능이 있습니다. 올해 XNUMX월에는 이미 정보 Troldesh 전염병에 대해 - 바이러스는 IoT 장치를 사용하여 전달을 가렸습니다. 이제 이를 위해 취약한 버전의 WordPress와 cgi-bin 인터페이스가 사용됩니다.

메일링은 다른 주소에서 전송되며 편지 본문에 WordPress 구성 요소와 함께 손상된 웹 리소스에 대한 링크가 포함되어 있습니다. 링크에는 Javascript 스크립트가 포함된 아카이브가 포함되어 있습니다. 실행 결과 Troldesh 암호화기가 다운로드되어 실행됩니다.

악성 이메일에는 합법적인 웹 리소스에 대한 링크가 포함되어 있기 때문에 대부분의 보안 도구에서는 탐지되지 않지만, 랜섬웨어 자체는 현재 대부분의 바이러스 백신 소프트웨어 제조업체에서 탐지됩니다. 참고: 악성 코드는 Tor 네트워크에 있는 C&C 서버와 통신하기 때문에 감염된 시스템에 "강화"할 수 있는 추가 외부 로드 모듈을 다운로드할 가능성이 있습니다.

이 뉴스레터의 일반적인 특징 중 일부는 다음과 같습니다.

(1) 뉴스레터 제목 예시 – “주문에 대하여”

(2) 모든 링크는 외부적으로 유사합니다. 예를 들어 /wp-content/ 및 /doc/ 키워드를 포함합니다.
Horsesmouth[.]org/wp-content/themes/InspiredBits/images/dummy/doc/doc/
www.montessori-academy[.]org/wp-content/themes/campus/mythology-core/core-assets/images/social-icons/long-shadow/doc/
chestnutplacejp[.]com/wp-content/ai1wm-backups/doc/

(3) 악성코드는 Tor를 통해 다양한 제어 서버에 접근합니다.

(4) SOFTWAREMicrosoftWindowsCurrentVersionRun 분기(매개변수 이름 - 클라이언트 서버 런타임 하위 시스템)의 레지스트리에 등록된 파일 이름: C:ProgramDataWindowscsrss.exe가 생성됩니다.

직원들에게 이 위협에 대해 알리고 가능하다면 위의 증상이 있는 수신 편지에 대한 통제를 강화하는 것을 고려하여 바이러스 백신 소프트웨어 데이터베이스를 최신 상태로 유지하는 것이 좋습니다.

출처 : habr.com