Cercetătorii de la ESET au identificat actualizări pentru cripto-ransomware-ul TorrentLocker

2016-09-09

TorrentLocker, cripto-ransomware-ul direcționat către anumite țări, a primit îmbunătățiri, care îl fac mai greu de urmărit și de analizat.

TorrentLocker, analizat de către ESET în anul 2014, este încă activ, iar datorită modului în care acesta vizează victimele potențiale cu spam direcționat, reușește să evite atenția pe care o primește cel mai proeminent cripto-ransomware. Cu toate acestea, cercetătorii de la ESET au continuat să urmărească evoluția acestui malware.

 “Grupul din spatele TorrentLocker pare a se menține pe poziții. A fost îmbunătățită tactica, iar ransomware-ul a avut parte de mici inovații, în timp ce s-a încercat menținerea în afara zonei de detecție”, afirmă Marc-Etienne M. Léveillé, cercetător malware la ESET.

TorrentLocker este distribuit prin intermediul mesajelor e-mail ce fac legătura cu o pagină web, unde se pretinde că un "document" (aparent o factură sau un cod de urmărire de colet) trebuie descărcat. În cazul în care “documentul” malițios este descărcat și deschis de către utilizator, TorrentLocker este executat. Acesta începe comunicarea cu serverul de comandă și control (C&C) și criptează fișierele victimei.

O caracteristică bine-cunoscută pentru TorrentLocker este modul în care sunt localizate paginile de descărcare, de răscumpărare și de plată. Victimelor li se furnizează informații în limba și în moneda locală.

Îmbunătățirile aduse atacurilor TorrentLocker vizează mecanismele prin care sunt contactate serverele sale de comandă și control, protecția serverelor de C&C printr-un strat suplimentar de criptare și mascare precum și procesul de criptare a fișierelor utilizatorilor.

Una dintre cele mai notabile îmbunătățiri ale caracteristicilor lui CryptoLocker ține de adăugarea unui script în lanțul de execuție ce duce la executabilul final.

“Link-ul din e-mailul de tip spam conduce acum la un script PHP găzduit pe un server compromis. Scriptul verifică dacă vizitatorul ce navighează pe internet se află în țara vizată, iar în cazul în care acest lucru este conform planului, utilizatorul va fi redirecționat către o pagină unde va fi descărcată următoarea etapă a acestui malware. În caz contrar, vizitatorul este redirecționat către Google,” explică Marc-Etienne M. Léveillé.

În analizarea acestui malware și a campaniilor sale, cercetătorii de la ESET au constatat faptul că 22 de țări au primit o versiune localizată a paginii pentru răscumpărare. Cu toate acestea, 7 dintre acestea nu au fost afectate încă de nicio campanie majoră de spam legată de TorrentLocker. Acestea sunt Franța, Japonia, Martinica, Portugalia, Coreea, Taiwan și Thailanda.

Detalii cu privire la îmbunătățirile aduse cripto-malware-ului TorrentLocker pot fi găsite în articolul analitic de pe blogul de securitate ESET.

Sfaturile ESET pentru protecția împotriva ransomware pot fi analizate în articolul 11 lucruri pe care le puteți face pentru a vă proteja împotriva ransomware-ului.