Програми-вимагачі, які видавали себе за оновлення Windows

Час читання: 2 протокол

Fantom, нова програма-вимагач, виявлена ​​нещодавно, замаскована під законне оновлення Microsoft Windows. Таким чином, він обманом змушує користувачів завантажити його, тим самим відкриваючи шлях для злому даних…
Дослідник зловмисного програмного забезпечення Якуб Кроустек з фірми AVG виявив це досить складне зловмисне програмне забезпечення.

Як ми знаємо, програмне забезпечення-вимагач — це шкідливе програмне забезпечення, яке допомагає хакерам блокувати системи та шифрувати файли користувачів таким чином, що їх неможливо відкрити чи використати. Програми-вимагачі також зупиняють роботу програм. Таким чином, особа, яка постраждала, повинна буде заплатити викуп хакерам(ам), щоб повернути свою систему в належний режим або відкрити та використовувати файли та програми. У ці дні зростає кількість атак програм-вимагачів; багато організацій стали жертвами вимагачів напади останніх місяців.

Як працює Fantom…

Fantom, який є програмним забезпеченням-вимагачем, заснованим на проекті EDA2 з відкритим кодом, з’являється з підробленим екраном оновлення Windows. Цей екран оновлення наводить вас на думку, що Windows встановлює нове критичне оновлення. Навіть властивості файлу для програм-вимагачів змусять вас повірити в це, стверджуючи, що він від Microsoft і матиме опис файлу як «Критичне оновлення».

Якщо ви повірите, що це справжнє оновлення Windows, ви можете виконати його. Це зробить вимагачів витягніть і запустіть іншу вбудовану програму під назвою WindowsUpdate.exe, а потім відобразиться підроблений екран Windows Update. Цей екран накладе всі активні Windows, і ви не зможете переключитися на будь-яку іншу відкриту програму. Ви побачите на цьому екрані оновлення відсоток, який змушує вас вважати, що оновлення Windows відбувається, тоді як насправді ваші файли шифруються, оскільки цей відсоток збільшується. Хоча комбінація клавіш Ctrl+F4 може допомогти вам закрити цей екран, якщо ви хочете, шифрування файлу буде здійснюватися у фоновому режимі.

Fantom, як і інші програми-вимагачі на базі EDA2, згенерує випадковий ключ AES-128 і зашифрує його за допомогою RSA. Потім він буде завантажений на сервер командування та керування розробниками шкідливих програм. Потім він сканує локальні диски на наявність файлів, які містять цільові розширення файлів. Ці файли зашифровані за допомогою шифрування AES-128, до кожного зашифрованого файлу буде додано розширення .fantom. У папках, у яких Fantom шифрує файли, також буде створено повідомлення про викуп DECRYPT_YOUR_FILES.HTML. Після завершення шифрування Fantom створить два пакетні файли, які виконуються; це видалить копії тіньового тому та підроблений екран оновлення, який ви отримали раніше.

Потім, нарешті, з’являється записка про викуп під назвою DECRYPT_YOUR_FILES.HTML. Тут буде зазначено, що відновлення ваших даних буде можливим, лише купивши у них паролі. Там будуть інструкції на електронну адресу fantomd12@yandex.ru або fantom12@techemail.com, щоб ви могли отримати інструкції щодо оплати. Вас також попереджають, що не намагайтеся відновити файли, кажучи, що це може повністю знищити ваші дані.

Хоча хакери використовують різні тактики для удару вимагачів, стратегія, використана у випадку з Fantom, є розумною. Зловмисники імітують екран, який більшість користувачів, у тому числі бізнес-користувачі, впізнають і навіть довіряють; порівняно легко змусити людей повірити, що вони отримують законне оновлення Windows, і таким чином спонукати їх завантажити Fantom. Це може бути вказівником на досить небезпечну тенденцію щодо шкідливих програм загалом і програм-вимагачів зокрема.

Вимагальні програми

Програмне забезпечення для захисту від вимагаючих програм

ПОЧНІТЬ БЕЗКОШТОВНУ ПРОБУ БЕЗКОШТОВНО ОТРИМАЙТЕ СВОЙ МОМЕНТАЛЬНИЙ СКОРЕКАРД

• Розповсюдження контенту та PR на основі SEO. Отримайте посилення сьогодні.
• Платоблокчейн. Web3 Metaverse Intelligence. Розширені знання. Доступ тут.
• Карбування майбутнього з Адріенн Ешлі. Доступ тут.
• джерело: https://blog.comodo.com/pc-security/ransomware-strikes-posing-windows-update/