«Лабораторія Касперського» знайшла складного і вкрай виборчого шифрувальника

Аналітики «Лабораторії Касперського» виявили троянця-шифрувальника, який використовує нову техніку для обходу захисних рішень і старанно уникає комп'ютерів із кириличною розкладкою на клавіатурі. Йдеться про нову версію вже відомого шкідника SynAck. Як з'ясували експерти, він першим із шифрувальників почав використовувати так звану техніку Doppelgänging, яка дозволяє шкідливій програмі маскуватися під легітимний процес. Якщо врахувати, що в цьому ПЗ застосовуються також інші методи «обману» антивірусних рішень, то завдання виявлення його присутності в системі стає досить складним.

SynAck відомий з осені 2017 року. Тоді він атакував переважно англомовних користувачів і задіяв для цього брутфорс-техніку (метод перебору пароля) з наступним ручним встановленням шкідливого файлу. Однак нова версія шифрувальника стала на порядок складнішою. Наприклад, використовувана в ній техніка Doppelgänging експлуатує недокументовану можливість завантаження процесів у Windows і дозволяє впровадити безфайловий код в легітимні системні процеси. У результаті шифрувальник не залишає жодних слідів у зараженій системі.

Як вважають дослідники, SynAck вибирає своїх жертв досить ретельно, тому зараз атаки шифрувальника мають цільовий характер. Наразі зараження зафіксовано в США, Кувейті, Німеччині та Ірані. Середній розмір викупу, який вимагає зловред, становить $3000.

Захисні рішення «Лабораторії Касперського» розпізнають нову версію шифрувальника SynAck як Trojan-Ransom.Win32.Agent.abwa, Trojan-Ransom.Win32.Agent.abwb та PDM:Trojan.Win32.Generic.

Для того щоб уникнути зараження цим та іншими шифрувальниками, «Лабораторія Касперського» рекомендує регулярно створювати резервні копії файлів; використовувати надійне захисне рішення, яке може розпізнати зловреда за його поведінкою та відкотити шкідливі зміни; завжди встановлювати всі офіційні оновлення програмного забезпечення на всіх своїх пристроях; корпоративним користувачам – навчати персонал та IT-команди навичкам кібербезпеки, а також окремо зберігати найбільш цінну інформацію та обмежувати доступ до неї; жертвам шифрувальника – не панікувати та перевірити, чи немає у відкритому доступі утиліти для розшифровки, наприклад, на сайті No More Ransom.