Sekurak ubolewał ostatnio nad tym, że „prawdziwych wirusów już nie ma”. Ich pisanie przestało być sztuką dla sztuki – twórcy szkodliwego oprogramowania skupiają się teraz na osiąganiu zysków. Sztandarowym przykładem takich działań może być ransomware, które próbuje wyłudzić kilkaset złotych, podszywając się pod policję. W Dzienniku Internautów ostrzegaliśmy przed nim już wiele razy. W ubiegłym tygodniu ciekawą analizę nowo pozyskanych próbek tego zagrożenia opublikował CERT Polska.
Na powyższym zrzucie ekranu można zobaczyć przykładowy komunikat wyświetlany przez ransomware na zablokowanych komputerach. Tym razem wysokość „grzywny” wynosi 500 złotych – można ją rzekomo uiścić, korzystając z przedpłaconego vouchera typu Ukash lub PaySafeCard.
:[SONDA]:Polski zespół CERT opisuje dwa sposoby rozpowszechniania zagrożenia. W pierwszym przypadku twórcy ransomware wstrzyknęli kod JavaScript do źródeł nieszkodliwych stron w domenach .gov.pl oraz .eu. Celem skryptu było ustalenie wersji pluginu Java zainstalowanego na komputerze ofiary i przesłanie odpowiedniego exploita. Przeprowadzając weryfikację po stronie użytkownika, przestępcy nieopatrznie ujawnili, jakie luki w Javie wykorzystują.
Drugim wektorem ataku było przejęcie kontroli nad systemem reklam. Mechanizm infekcji jest analogiczny do opisywanego powyżej, z tym wyjątkiem, że odniesienie do złośliwego skryptu nie znajduje się bezpośrednio na stronie, ale jest częścią reklamy umieszczonej na zewnętrznym serwerze – tłumaczą eksperci. Prosty wniosek: nie chcesz zostać zainfekowany, nie lekceważ poprawek wydawanych przez Oracle (nie zaszkodzi też ujarzmienie Javy za pomocą odpowiednich wtyczek).
W obu przypadkach ściągnięte oprogramowanie blokowało komputer użytkownika, żądając okupu za zdjęcie blokady. Więcej szczegółów technicznych można znaleźć w artykule CERT Polska.
Trojan-szantażysta wyświetlający pornografię dziecięcą
:[IMG-1ca33]:Parę miesięcy temu opisywaliśmy w Dzienniku Internautów, jak ransomware przyczyniło się do ujawnienia posiadacza dziecięcej pornografii. Twórcy zagrożenia zdecydowali się niestety pójść tym tropem i stworzyli nową wersję trojana, która najpierw przekierowuje użytkownika na stronę z pornografią dziecięcą, następnie blokuje komputer, żądając opłaty karnej za jej oglądanie. Zaufana Trzecia Strona podaje, że w sieci grasuje już polska wersja tego ransomware.
Jak wygląda sytuacja w innych krajach? Zobacz na kolejnej stronie GALERIĘ ZRZUTÓW EKRANU.
Jak można łatwo się domyślić, ransomware nie jest wyłącznie polską specjalnością. Jakiś czas temu informowaliśmy w Dzienniku Internautów o dosyć prymitywnej wersji tego zagrożenia, której celem są użytkownicy Maców w Stanach Zjednoczonych. Poniżej zamieszczamy kilka zrzutów ekranu pochodzących z bloga firmy F-Secure, pokazujących komunikaty wyświetlane przez trojana-szantażystę użytkownikom z różnych krajów.
Wielka Brytania:
Holandia:
Niemcy:
Hiszpania:
Australia:
Kanada:
