Zataiłeś dochody? Szkodnik postraszy kontrolą, zaszyfruje pliki i zażąda okupu

To jeden z lepiej skrojonych ataków, jakie wymierzone zostałyprzeciwko polskim internautom. Jego skalę póki co trudno ocenić,ale biorąc pod uwagę, że trafił na większość naszych skrzynekpocztowych, zarówno firmowych, jak i prywatnych, można sądzić, żenie jest ona mała.

E-mail z tytułem „Zostala wyznaczona kontrola dochodow. SprawaPL” napisany jest nieco niezgrabną urzędniczą mową, która wpierwszej chwili jednak nie budzi niepokoju – w końcu nie razwidzieliśmy pisma z urzędów, przy których zdanie „sankcja naprzeprowadzenie sciagania podatkowego rowniez jest zalaczona dodokumentu” wcale nie jest najgorszym możliwym.

Oczywiście cała treść zachęcić ma tylko do jednego –otworzenia załącznika. W archiwum ZIP ukryty został plikJavaScriptu, w wysokim stopniu zaciemniony, rozpoznawany jedynieprzez kilka antywirusów, jako JS/Cerber.F1!Eldorado. Po uruchomieniupoprzez Internet Explorera (w Edge się zawiesił) pobiera on z nasztywno zakodowanego adresu serwera OVH złośliwy ładunek –trojana WisdomEyes.Niestety – z popularnych antywirusów wychwytują go tylko Avast iKaspersky.

Z tego co udało się nam ustalić, trojan po uruchomieniurozpoczyna pobieranie ransomware – to klasyczny CTBLocker (Citroni.A), który natychmiast po uruchomieniu zaczynaszyfrować wszystkie dostępne dla niego pliki. Niestety jak do tejpory nie ma żadnych narzędzi, które pozwoliłyby na ichodszyfrowanie – użyty kryptosystem na bazie krzywych eliptycznychjest nie do ugryzienia. Jedynym sposobem na odzyskanie swoich danychbędzie odtworzenie ich z kopii zapasowej lub zapłaceniecyberprzestępcom okupu, obecnie 0,2 bitcoina – ok. 520 zł.

Jak zawsze w takich wypadkach możemy polecić tylko jedno: nieklikajcie w żadne rozszerzenia. Co jednak z tymi, którzy zawodowomuszą czytać sporo poczty, a otwieranie załączników jest częściąich służbowych obowiązków? Tu można polecić, by wstrzymali sięz otwieraniem załączników spakowanych w pliki ZIP, a już w żadnymrazie nie klikali plików z rozszerzeniami .js czy .exe.