Тролдеш во нова маска: уште еден бран на масовно испраќање на вирус за откуп

Од почетокот на денес до денес, експертите на JSOC CERT снимија масовна злонамерна дистрибуција на вирусот за шифрирање Тролдеш. Неговата функционалност е поширока од само онаа на енкрипторот: покрај модулот за шифрирање, тој има можност далечински да контролира работна станица и да презема дополнителни модули. Во март оваа година ние веќе информирани за епидемијата на Тролдеш - тогаш вирусот ја маскирал својата испорака користејќи IoT уреди. Сега, за ова се користат ранливите верзии на WordPress и интерфејсот cgi-bin.

Поштата се испраќа од различни адреси и содржи во телото на писмото врска до компромитирани веб-ресурси со компоненти на WordPress. Врската содржи архива која содржи скрипта во Javascript. Како резултат на неговото извршување, енкрипторот Тролдеш се презема и стартува.

Злонамерните е-пошта не се откриени од повеќето безбедносни алатки бидејќи содржат линк до легитимен веб-ресурс, но самиот откупен софтвер моментално е откриен од повеќето производители на антивирусен софтвер. Забелешка: бидејќи малициозниот софтвер комуницира со серверите C&C лоцирани на мрежата Tor, потенцијално е можно да се преземат дополнителни надворешни модули за оптоварување на заразената машина што може да го „збогати“.

Некои од општите карактеристики на овој билтен вклучуваат:

(1) пример на тема на билтенот - „За нарачката“

(2) сите врски се надворешно слични - ги содржат клучните зборови /wp-content/ и /doc/, на пример:
Horsesmouth[.]org/wp-content/themes/InspiredBits/images/dummy/doc/doc/
www.montessori-academy[.]org/wp-content/themes/campus/mythology-core/core-assets/images/social-icons/long-shadow/doc/
chestnutplacejp[.]com/wp-content/ai1wm-backups/doc/

(3) малициозниот софтвер пристапува до различни контролни сервери преку Tor

(4) се креира датотека Име на датотека: C:ProgramDataWindowscsrss.exe, регистрирана во регистарот во гранката SOFTWAREMicrosoftWindowsCurrentVersionRun (име на параметар - Подсистем за време на траење на серверот клиент).

Препорачуваме да бидете сигурни дека вашите бази на податоци за антивирусен софтвер се ажурирани, имајќи предвид да ги информирате вработените за оваа закана, а исто така, доколку е можно, да ја зајакнете контролата врз дојдовните писма со горенаведените симптоми.

Извор: www.habr.com