Fake Ransomware
Киберпрестъпниците разпространяват заплаха от злонамерен софтуер, представяща се за рансъмуер чрез повредени уебсайтове, за които се предполага, че предлагат съдържание за възрастни и възрастово ограничено. Когато се активира на устройствата на жертвите, заплахата се проследява, тъй като фалшивият рансъмуер действа по-близо до чистач, който ще остави засегнатите данни в състояние, което не може да бъде възстановено. Въоръжените уебсайтове имат имена, подобни на sexyphotos.kozow(dot)com, nude-girlss.mywire(dot)org и sexy-photo(dot)online.
Според изследователите по киберсигурност, които първи пуснаха подробности за операцията по атаката, тези сайтове ще подмамят потребителите, като автоматично активират изтеглянето на това, което е представено като груб файл с изображение. Ако потребителите приемат изтеглянето, изпълним файл с име „SexyPhotos.JPG.exe“ ще бъде премахнат и активиран на техните компютри.
Подробности за Fake Ransomware
Когато бъде изпълнен, файлът ще пусне четири изпълними и един пакетен файл на устройството на жертвата. Пакетният файл има за задача да установи постоянство чрез копиране на всичките четири изпълними файла в папката за стартиране на Windows. Когато бъде напълно установен, фалшивият Ransomware ще се насочи към над 70 различни файлови разширения и множество конкретно избрани папки. Оригиналните имена на всички целеви файлове и папки ще бъдат променени на „Locked_[BROM].Locked_fille“, което ще ги остави в неизползваемо състояние. Имайте предвид обаче, че не се извършва криптиране. Заплахата също има списък с изключения, съдържащ файлови разширения, които ще бъдат оставени непокътнати.
The Ransom Note And Wipe Mechanic
След като приключи с преименуването на всички свои цели, фалшивият рансъмуер ще пусне текстов файл с име „Readme.txt“ на устройството. След това файлът ще бъде копиран в множество различни папки, както и автоматично отворен на екрана. Бележката за откуп съдържа инструкции на множество езици, включително английски, немски, испански, френски, турски и др. Нападателите заявяват, че файловете на жертвата са криптирани и засегнатите потребители сега ще трябва да платят откуп от $300, ако искат да възстановят данните си. Цената ще бъде удвоена до $600 3 дни след атаките, докато след 7 дни кодовете за дешифриране ще бъдат изтрити и всички заключени файлове ще станат неспасяеми.
Въпреки това, както казахме по-рано, фалшивият рансъмуер няма рутина за криптиране. В резултат на това е изключително малко вероятно дори нападателите да успеят да възстановят засегнатите файлове, тъй като заплахата не поддържа запис на оригиналните имена на файлове.
