21.04.2018  Новости, Безопасность

По сообщению компании «Доктор Веб», ее специалисты исследовали нового троянца-энкодера. Из-за ошибки его авторов восстановление поврежденных шифровальщиком файлов в большинстве случаев невозможно. Новый троянец-шифровальщик получил наименование Trojan.Encoder.25129; превентивной защитой Антивируса Dr.Web он автоматически детектируется под именем DPH:Trojan.Encoder.9. После запуска троянец проверяет географическое расположение пользователя по IP-адресу инфицированного устройства. По задумке злоумышленников, троянец не шифрует файлы, если IP-адрес расположен в России, Беларуси или Казахстане, а также если в настройках ОС установлены русский язык и российские региональные параметры. Однако из-за ошибки в коде энкодер шифрует файлы вне зависимости от географической принадлежности IP-адреса. Trojan.Encoder.25129 шифрует содержимое папок текущего пользователя, рабочего стола Windows, служебных папок AppData и LocalAppData. Шифрование осуществляется с использованием алгоритмов AES-256-CBC, зашифрованным файлам присваивается расширение .tron. Не шифруются файлы размером более 30 млн байт (примерно 28.6 Мбайт). После завершения шифрования троянец создает файл %ProgramData%\trig и записывает в него значение «123» (если такой файл уже существует, шифрование не выполняется). Затем энкодер отправляет запрос на сайт iplogger, адрес которого зашит в его теле, а после этого показывает окно с требованиями выкупа. Размер требуемого злоумышленниками выкупа варьируется от 0,007305 до ... читать далее.