Обнаружена новая программа-вымогатель

Обнаружена новая программа-вымогатель

Новую программу-вымогатель обнаружила международная антивирусная компания ESET. Android/Filecoder.C, нацелена на пользователей Android-устройств, которые регулярно выходят на порноресурсы.

Как сказано в релизе ESET, злоумышленники распространяли вредоносные ссылки и QR-коды в подразделах о порнографии на Reddit и на форуме для Android-разработчиков XDA Developers.

1565610328258.png (85 KB)

                                 Пример постов на Reddit

Для сокрытия подозрительного адреса использовался портал bit.ly - сервис для создания коротких ссылок.

После загрузки вредоносное приложение рассылает текстовые сообщения по всему списку контактов жертвы, подталкивая получателей кликнуть по ссылке и загрузить вредоносную программу.

Сообщения составлены на 42 языках, однако внимательный пользователь заподозрит неладное - переводы не отличаются качеством, и зачастую SMS представляют собой бессмысленный набор слов.

41565610328281.png (49 KB)

         Пример SMS с вредоносной ссылкой

После установки вредоносного приложения файлы на устройстве жертвы шифруются, а пользователь получает уведомление о необходимости заплатить выкуп - в противном случае все файлы, якобы, будут стерты спустя 72 часа. Впрочем, эксперты ESET не обнаружили в коде вымогателя команд на удаление файлов через какое-либо ограниченное время.

51565610328300.png (74 KB)

            Требование выкупа

Стоит отметить, что шифрование файлов выполнено сравнительно непрофессионально. Во-первых, программа не шифрует большие архивные файлы (более 50 Мб) и маленькие изображения (до 150 Кб).

Во-вторых, список распознаваемых программой расширений для шифрования выглядит необычно - в нем фигурируют типы файлов, никак не связанные с ОС Android.

"Похоже, перечень расширений для шифрования скопирован со списка, который использовался в известной кампании WannaCry", - отмечает эксперт ESET Лукас Стефанко.

Примечательно, что каждой жертве шифратора назначается уникальная сумма выкупа в пределах 0,01-0,02 биткойна.

"Уникальная сумма выкупа – это новшество. Мы никогда не встречали подобной модели вымогательства у Android-пользователей, - комментирует Лукас Стефанко. - В целом, обнаруженная кампания выглядит непрофессионально. Однако, если дистрибутив будет улучшен, эта программа-вымогатель может стать серьезной угрозой".

На момент публикации профили пользователей, распространявших Android/Filecoder.C на форуме XDA Developers, были удалены. Однако вредоносные ссылки на Reddit все еще активны.

Источник: nag.ru