Ransomware [1] [2] , ransomware [3] ( ransomware - en portmanteau av orden ransom - ransom and software - software) - en typ av skadlig programvara utformad för utpressning , blockerar åtkomst till ett datorsystem eller förhindrar läsning av data spelas in i den (ofta med hjälp av krypteringsmetoder), och kräver sedan en lösensumma från offret för att återställa det ursprungliga tillståndet.
För tillfället finns det flera radikalt olika tillvägagångssätt för arbetet med ransomware:
Efter att Trojan.Winlock\LockScreen har installerats på offrets dator, låser programmet datorn med hjälp av systemfunktioner och läggs till vid start (i motsvarande grenar av systemregistret). Samtidigt ser användaren något fiktivt meddelande på skärmen, till exempel om påstådda olagliga handlingar som just begåtts av användaren (även med länkar till lagar), och ett krav på lösen som syftar till att skrämma en oerfaren användare - skicka en betalda SMS , fyll på någon annans konto [4] , inklusive på ett anonymt sätt som BitCoin. Dessutom kontrollerar trojaner av denna typ ofta inte lösenordet. I det här fallet förblir datorn i fungerande skick. Ofta finns det ett hot om förstörelse av all data, men detta är bara ett försök att skrämma användaren [5] . Ibland ingår verktyg för att förstöra data, såsom asymmetrisk nyckelkryptering, fortfarande i viruset, men de fungerar antingen inte korrekt eller så finns det en implementering med låg kompetens. Det finns kända fall av närvaron av en fildekrypteringsnyckel i den trojanska koden själv, såväl som den tekniska omöjligheten att dekryptera data av hackaren själv (trots den betalda lösensumman) på grund av frånvaron eller förlust av denna nyckel även av honom.
Ibland är det möjligt att bli av med ett virus genom att använda avblockeringsformulär på antivirussajter eller specialprogram skapade av antivirusföretag för olika geografiska regioner där trojaner är aktiva och som regel är fritt tillgängliga. Dessutom, i vissa fall, i säkert läge, är det möjligt att hitta den trojanska processen i aktivitetshanteraren , hitta dess fil och ta bort den. Det är också värt att tänka på att trojanen i vissa fall kan förbli i drift även i säkert läge. I sådana fall måste du gå in i felsäkert läge med kommandoraden och köra utforskarprocessen i konsolen och ta bort trojanen, eller använda tjänsterna för antivirusprogram.
Efter att ha installerats på offrets dator krypterar programmet de flesta av arbetsfilerna (till exempel alla filer med vanliga tillägg). I det här fallet förblir datorn i drift, men alla användarfiler är otillgängliga. Angriparen lovar att skicka instruktioner och ett lösenord för att dekryptera filer för pengar.
Krypteringsvirus dök upp kronologiskt efter winlockers. Deras distribution är associerad med UAC och Microsoft hotfixar: det blir svårare att registrera sig i systemet utan användarens vetskap, men datorn är designad för att fungera med användarfiler! De kan skadas även utan administrativa rättigheter.
Dessa bedrägerier inkluderar
Program relaterade till ransomware är tekniskt sett ett vanligt datavirus eller nätverksmask , och infektion sker på samma sätt - från ett massutskick när en körbar fil startas eller när den attackeras genom en sårbarhet i en nätverkstjänst.
De viktigaste distributionsvägarna för ransomware: [6]
Allmänna regler för personuppgiftsdisciplin:
Om infektionen redan har inträffat är det värt att använda de verktyg och tjänster som tillhandahålls av antivirusföretag. Det är dock långt ifrån alltid möjligt att eliminera infektionen utan att betala en lösen [8] .
Ransomware-virus har infekterat persondatoranvändare sedan maj 2005. Följande instanser är kända: TROJ.RANSOM.A, Archiveus, Krotten, Cryzip, MayArchive. Det mest kända viruset är Gpcode och dess varianter Gpcode.a, Gpcode.ac, Gpcode.ag, Gpcode.ak. Den senare är anmärkningsvärd för det faktum att den använder RSA-algoritmen med en 1024-bitars nyckel för att kryptera filer.
I mars 2013, Dr. På webben upptäcktes ArchiveLock ransomware som attackerade användare i Spanien och Frankrike , som använder den lagliga WinRAR -arkiveringen [9] för att utföra skadliga åtgärder för att kryptera filer , och sedan, efter kryptering, permanent raderar originalfilerna med Sysinternals SDelete- verktyget [10 ] .
Följande fakta talar om omfattningen av den framväxande kriminella verksamheten. I slutet av 2013 använde CryptoLocker ransomware betalningssystemet Bitcoin för att samla in en lösen. I december 2013 , baserat på tillgången på information om Bitcoin-transaktioner, utvärderade ZDNet överföringarna av medel från infekterade användare för perioden 15 oktober till 18 december. Bara vid slutet av denna period hade CryptoLocker-operatörer lyckats samla in cirka 27 miljoner dollar till det då aktuella priset på bitcoins. [elva]
Kända attacker2017 : WannaCry (maj) [12] ; Petya (juni) [13] [14] ; Bad Rabbit (oktober) [15]
Med hjälp av internet kan angripare verka över hela världen: endast i Australien , enligt officiella uppgifter, från augusti till december 2014 fanns det cirka 16 tusen episoder av onlineutpressning, medan den totala lösensumman uppgick till cirka 7 miljoner dollar [8] .
ryskt spårEnligt experter pekar indirekta tecken på anslutningen av ransomware-utvecklare med Ryssland och de tidigare republikerna i Sovjetunionen . Följande fakta talar för denna version [16] :
Företagspublikationer:
Artiklar:
| Skadliga program | |
|---|---|
| Infektiös skadlig programvara | |
| Dölja metoder | |
| Skadlig programvara för vinst |
|
| Genom operativsystem |
|
| Skydd |
|
| Motåtgärder |
|