16 мая 2016 / время чтения: 2 мин. / всего просмотров: 1
Троян-шифровальщик Petya содержит вымогательское ПО Mischa
По данным экспертов компании Bleeping Computer, авторы трояна-шифровальщика Petya выпустили новый инсталлятор, который в случае невозможности получить права администратора вместе с Petya устанавливает дополнительное вымогательское ПО Mischa. Раньше после установки Petya запрашивал права администратора с целью изменить главную загрузочную запись, и в случае неудачи инсталлятор бездействовал.
Новый инсталлятор распространяется через фишинговые письма, содержащие ссылку на облачный сервис наподобие MagentaCloud. Ссылка ведет на фотографию предполагаемого претендента на работу и исполняемый файл, замаскированный под резюме в формате PDF. После того, как запускается исполняемый файл с именем наподобие PDFBewerbungsmappe.exe, инсталлятор пытается получить права администратора для изменения главной загрузочной записи. Если это невозможно, устанавливается не требующее подобных прав вымогательское ПО Mischa.
Инфицировав систему, вредонос сканирует компьютер, шифрует хранящиеся на нем файлы с помощью алгоритма AES и добавляет к их имени четырехзначное расширение. К примеру, test.jpg может стать test.jpg.7GP3. Помимо стандартных типов файлов (PNG, JPG, DOCX и пр), Mischa также шифрует файлы .EXE. Вредонос не шифрует файлы, находящиеся в паках \Windows, \$Recycle.Bin, \Microsoft, \Mozilla Firefox, \Opera, \Internet Explorer, \Temp, \Local, \LocalLow и \Chrome.
За восстановление файлов злоумышленник требует от жертвы выплатить выкуп в размере 1,93 биткойна (порядка $875). В настоящее время инструментов, позволяющих расшифровать их без необходимости платить, не существует.
Новый инсталлятор распространяется через фишинговые письма, содержащие ссылку на облачный сервис наподобие MagentaCloud. Ссылка ведет на фотографию предполагаемого претендента на работу и исполняемый файл, замаскированный под резюме в формате PDF. После того, как запускается исполняемый файл с именем наподобие PDFBewerbungsmappe.exe, инсталлятор пытается получить права администратора для изменения главной загрузочной записи. Если это невозможно, устанавливается не требующее подобных прав вымогательское ПО Mischa.
Инфицировав систему, вредонос сканирует компьютер, шифрует хранящиеся на нем файлы с помощью алгоритма AES и добавляет к их имени четырехзначное расширение. К примеру, test.jpg может стать test.jpg.7GP3. Помимо стандартных типов файлов (PNG, JPG, DOCX и пр), Mischa также шифрует файлы .EXE. Вредонос не шифрует файлы, находящиеся в паках \Windows, \$Recycle.Bin, \Microsoft, \Mozilla Firefox, \Opera, \Internet Explorer, \Temp, \Local, \LocalLow и \Chrome.
За восстановление файлов злоумышленник требует от жертвы выплатить выкуп в размере 1,93 биткойна (порядка $875). В настоящее время инструментов, позволяющих расшифровать их без необходимости платить, не существует.
Анна Воробьева