Исследователи из Trend Micro обнаружили вредоносную рассылку, использующуюся для загрузки сразу двух целевых зловредов – вымогателя CryptoWall 3.0, известного также под именем Crowti, и шпиона FareIt.
Сообщения спамеров оформлены, как письмо от претендента (имярек) на замещение вакантной должности, и снабжены вредоносным вложением в формате .ZIP, поименованным так же, как и заголовок, – Resume Имя Собственное. Последнее, по словам экспертов, содержит скромный js-файл, его содержимое было опознано как даунлоудер. Весьма странно, что злоумышленники в данном случае не используют более привычные для резюме форматы – .DOC, .PDF или .RTF, рискуя вызвать подозрения у потенциальной жертвы. Возможно, обход почтовых антивирусов для них был важнее, и они решили повысить процент доставки, используя обфусцированный код и файл малого размера.
Как показал анализ, при активации данный зловред загружает из Сети (по двум URL) исполняемые файлы, но с расширением .JPG, – старый трюк, который способен ввести в заблуждение неудачно построенные системы обнаружения вторжений. Содержимым этих файлов, по свидетельству Trend Micro, являются CryptoWall новейшей модификации и FareIt.
После запуска блокер создает новый процесс explorer.exe для получения прав администратора (если они есть у жертвы); такой «законный» системный процесс помогает ему обходить сканеры, использующие белые списки. CryptoWall/Crowti также удаляет все теневые копии с помощью утилиты vssadmin.exe (командой Delete Shadows /All /Quiet), чтобы исключить эту возможность восстановления зашифрованных файлов.
Примечательно, что URL командного сервера данного зловреда, с которого он получает публичный RSA-ключ, прописаны в его коде. CryptoWall шифрует все наличные документы, базы данных, письма, изображения, аудио- и видеозаписи, а также исходные коды жертвы по RSA-2048, присваивая каждому итогу произвольное расширение. В каждой папке с шифрованными данными он создает файл HELP_DECRYPT с требованием выкупа (на настоящий момент он составляет 500 долларов). По окончании шифрования зловред открывает один из этих файлов, чтобы отобразить жертве грозное сообщение.
Для оплаты дешифратора пользователю предлагают пройти в анонимную сеть Tor; если он не отдал деньги в указанные сроки, сумма выкупа удваивается. В случае неуплаты злоумышленники грозят уничтожить приватный ключ, лишив жертву возможности вернуть файлы, оказавшиеся в заложниках.
Пока CryptoWall отвлекает жертву своими сообщениями, FareIt тоже не теряет времени даром. Он крадет регистрационные данные, сохраненные в почтовых и FTP-клиентах, веб-браузерах, а также идентификаторы к кошелькам Bitcoin. Видимо, инициаторам данной спам-рассылки выкупа показалось мало, и они решили использовать дополнительную схему монетизации своих усилий.
Согласно статистике Trend Micro, на настоящий момент зараженность CryptoWall 3.0 наиболее высока в Австралии и Новой Зеландии (совокупно 50,38% детектов). Несколько лучше, но тоже печальна ситуация в Северной Америке (24,18%) и Европе (14,27%).
Во избежание больших потерь эксперты рекомендуют регулярно создавать резервные копии важных файлов и никогда не открывать вложения в письма из неизвестных или неподтвержденных источников.
