Вербовка заложников. Новый троян блокирует и заражает личные файлы пользователя

Эксперты ESET обнаружили новую модификацию трояна Virlock, который «запирает» личные данные пользователя.

Как и другие известные программы-вымогатели, обнаруженный троян шифрует файлы на зараженном устройстве и выводит на экран окно с требованием выкупа. Но помимо «традиционного» функционала Virlock также способен заражать заблокированные файлы, встраивая в них вредоносный код.

Обнаруженный ESET троян блокирует и заражает файлы наиболее распространенных форматов: .exe, .doc, .zip, .rar, .pdf, .mp3, .png, .jpg и др.

При заражении файла, не являющегося исполняемым (например, файла изображения или аудиозаписи), Virlock преобразует его в исполняемый exe-файл, для чего создает новый файл с зашифрованным содержимым документа и своим кодом, удаляет оригинальный файл и перезаписывает новый с тем же именем, но с расширением .exe. Запуск инфицированного файла сопровождается созданием двух новых, осуществляющих дальнейшее заражение системы.

Часть кода Win32/Virlock отвечает за отображение экрана блокировки и самозащиту, в том числе завершение процессов «Диспетчера задач». Сообщение в окне блокировки содержит требование о выкупе в размере 250 долларов в биткоин-эквиваленте. Анализ транзакций, проведенных по указанному счету Bitcoin, показал, что некоторые жертвы уже заплатили злоумышленникам.

Интересно, что код вредоносной программы способен выполнять некоторую локализацию экрана блокировки. Для этого используется соединение с google.com и определение перенаправления на локальный домен (например, google.ru, google.co.uk и др.). В некоторых странах на экране блокировки отображается государственный флаг, стоимость биткоина и курс национальной валюты.

Специалисты ESET зафиксировали несколько модификаций Win32/Virlock, что указывает на его активное развитие злоумышленниками. При этом код Win32/Virlock свидетельствует о высоком уровне технической подготовки авторов программы.

Экраны блокировки некоторых модификаций Win32/Virlock:



Более подробный анализ Win32/Virlock представлен в блоге ESET Russia на Хабрахабр.