Шифровальщик Locky начал использовать JavaScript-вложения

Шифровальщик Locky начал использовать JavaScript-вложения

Шифровальщик Locky начал использовать JavaScript-вложения

Locky, один из самых распространенных вымогателей, теперь рассылается через спам, в прикрепленных JavaScript-файлах. Раньше рассылаемые вредоносные JavaScript-вложения устанавливали на компьютер жертвы трояны-загрузчики. Однако на прошлой неделе была замечена новая волна рассылки, в которой изменился механизм, и теперь вместо загрузчиков, вредоносные вложения загружают на компьютер пользователей вымогатель Locky.

По мнению исследователей из CYREN, в заголовках писем вредоносной рассылки использовалась тема «Счет-фактура», это довольно стандартный прием для распространения вредоносных программ. Кроме того, исследователи отметили, что имена файлов-вложений в письмах также не изменились и использовались уже в предыдущих рассылках Locky.

Изменился размер вложенного .zip-архива, он стал на 250KB больше в сравнении с вложениями из предыдущих рассылок. Но находящийся внутри архива JavaScript-файл использует тот же метод обфускации, что и раньше.

Загрузив вредоносный скрипт в редактор, исследователи CYREN отметили использование многочисленных переменных, содержащих куски строк, которые объединяются во время выполнения.

В отличие от предыдущих вариантов, в коде наблюдалось много больших массивов, где содержится зашифрованный бинарный файл вымогателя Locky. Перед тем, как файл запустится на выполнение, он расшифровывается и сохраняется на диске.

Встраивать вредоносный код в скрипты давно не является новой методикой и используется злоумышленниками давно. Однако раньше вымогатели предпочитали использовать вредоносные макросы в документах Office, распространяя их посредствам рассылок с помощью ботнета Necurs.

Процесс расшифрования бинарного файла вымогателя отмечается всплеском нагрузки на процессор, которую дает процесс wscript.exe. После расшифровки, исполняемый файл сохраняется в папке Temp с, казалось бы, случайным именем, однако имя жестко закодировано в скрипте. Затем, бинарный файл вымогателя запускается с аргументом «321».

Этот вариант Locky добавляет расширение .zepto к зашифрованным файлам. Согласно исследованиям CYREN, авторы вредоноса сделали лишь несколько изменений в коде, чтобы использовать новое расширение зашифрованных файлов.

Как только процесс шифрования файлов пользователя закончен, Locky меняет фон рабочего стола на записку с требованиями. Также пользователю предоставляются Tor-ссылки, пройдя по которым он попадает на «Страницу расшифровки Locky».

Семейный Защитник МТС поможет предупредить близких о звонках мошенников

МТС объявил о запуске новой услуги: абоненты смогут в реальном времени получать уведомления (СМС, пуши) о подозрительных звонках членам их семьи. Новая функция доступна в рамках платной подписки «Защитник+ для семьи».

В пакет также включены сервис блокировки мошеннических и спам-звонков, услуга «Безопасный звонок» и страхование (в случае кражи денег посредством телефонного мошенничества МТС поможет вернуть до 1,5 млн рублей).

Комплексную защиту можно распространить на своих близких (до трех дополнительных участников), создав семейную группу. Отдельной платы за это взиматься не будет.

«Злоумышленники продолжают звонить менее информированным и защищенным людям, — поясняет Андрей Бийчук, директор Центра продуктов телеком-технологий. — Например, пожилые могут не распознать в моменте новую схему обмана, а дети и подростки, как правило, не обладают достаточным опытом и критическим мышлением».

По данным МТС, в 2025 году ее ИИ-охранник «Безопасный звонок» отрабатывал у детей и людей преклонного возраста в два раза чаще, чем у других абонентов. При этом пенсионерам мошенники предпочитали звонить около 11-ти утра, а подросткам — в районе 14:00, когда те обычно приходят домой из школы.

Остается надеяться, что с вводом в строй новой единой антифрод-платформы борьба с телефонным мошенничеством в России вступит в новую фазу и принесет долгожданные, еще более существенные плоды.

RSS: Новости на портале Anti-Malware.ru