Нове програмне забезпечення вірус-вимагач має назву Google Software Update.exe. Програма-вимагач атакує комп’ютери під виглядом оновлення ПЗ Google, повідомляє компанія Trend Micro, що займається програмним забезпеченням для кібербезпеки.
Вірус, який отримав назву HavanaCrypt, використовує IP-адресу служби веб-хостингу Microsoft як сервер керування (C&C), щоб обійти виявлення.
Використовуючи функцію QueueUserWorkItem, він змушує нічого не підозрюючих користувачів подумати, що це оновлення, перш ніж запускати шкідливий файл у їхні системи.
Зловмисне програмне забезпечення під назвою Google Software Update.exe виконує кілька методів захисту від віртуалізації, щоб обійти програми віртуальної машини.
HavanaCrypt не є першою програмою-вимагачем, яка маскується під корисну програму, оскільки користувачі заражають свої пристрої, мимоволі завантажуючи заборонені інсталятори Windows 10 і Google Chrome.
Але цей вірус відрізняється тим, що він використовує сервер C&C, який є частиною веб-хостингу Microsoft, щоб уникнути виявлення, за словами аналітиків загроз TrendMicro.
Цей вірус інший
У дописі аналітики висловлюють думку, що автор вірусу, можливо, намагається спілкуватися через Tor, анонімний веб-браузер з відкритим кодом, оскільки його було виявлено серед каталогів, у яких вірус уникає шифрування файлів.
Вірус не залишає після себе повідомлення про викуп, що може означати, що HavanaCrypt може бути тільки на стадії розробки, кажуть аналітики.
Натомість він розгортає виконувані копії як приховані системні файли в папках перед тим, як генерувати унікальний ідентифікатор на основі системної інформації скомпрометованих пристроїв. Потім він генерує ключ шифрування за допомогою функції CryptoRandom KeePass Password Safe.
«Незважаючи на те, що HavanaCrypt потенційно знаходиться на ранній стадії життя, важливо виявити та заблокувати його, перш ніж він розвиватиметься далі та завдасть ще більшої шкоди», – додали аналітики.
За даними Trend Micro, програмне забезпечення-вимагач є однією з найпоширеніших кіберзагроз сьогодні. У першому кварталі компанія заявила, що виявила та заблокувала понад 4,4 мільйона загроз програм-вимагачів, що на 37% більше, ніж у попередньому кварталі.
Аналітики пишуть, що зловмисне програмне забезпечення довговічне, оскільки воно «застосовує тактику та схеми, що постійно змінюються». Цього року програми-вимагачі поширювалися як підроблені оновлення Windows 10, Google Chrome і Microsoft Exchange.
Програми-вимагачі також є особливо прибутковими: корпоративні жертви зазвичай платять викуп за розблокування даних і систем. Вони платять, оскільки ця сума зазвичай вважається мізерною в порівнянні зі збитками від зриву бізнесу, спричиненого зловмисним програмним забезпеченням.
За матеріалами: AIbusiness
