TorrentLocker, unul dintre cei mai periculoși viruși, a devenit și mai avansat

TorrentLocker, analizat analizat pentru prima dată în anul 2014, este încă activ, iar datorită modului în care acesta vizează victimele potențiale cu spam direcționat, reușește să evite atenția pe care o primește cel mai proeminent cripto-ransomware.

Cu toate acestea, cercetătorii de la ESET au continuat să urmărească evoluția acestui malware și au descoperit o serie de îmbunătățiri care îl fac și mai periculos.

“Grupul din spatele TorrentLocker pare a se menține pe poziții. A fost îmbunătățită tactica, iar ransomware-ul a avut parte de mici inovații, în timp ce s-a încercat menținerea în afara zonei de detecție”, afirmă Marc-Etienne M. Léveillé, cercetător malware la ESET.

TorrentLocker este distribuit prin intermediul mesajelor e-mail ce fac legătura cu o pagină web, unde se pretinde că un „document” (aparent o factură sau un cod de urmărire de colet) trebuie descărcat. În cazul în care “documentul” malițios este descărcat și deschis de către utilizator, TorrentLocker este executat. Acesta începe comunicarea cu serverul de comandă și control (C&C) și criptează fișierele victimei.

Horoscop zilnic 26 decembrie 2024. Zodia care primește o invitație inedită pe care nu o va putea refuza

Ce mesaj le-a transmis Elena Lasconi românilor, de Crăciun: ”Împreună este mai ușor să trecem peste orice greutate!”

O caracteristică  bine-cunoscută pentru TorrentLocker este modul în care sunt localizate paginile de descărcare, de răscumpărare și de plată. Victimelor li se furnizează informații în limba și în moneda locală.

Îmbunătățirile aduse atacurilor TorrentLocker vizează mecanismele prin care sunt contactate serverele sale de comandă și control, protecția serverelor de C&C printr-un strat suplimentar de criptare și mascare precum și procesul de criptare a fișierelor utilizatorilor.

Una dintre cele mai notabile îmbunătățiri ale caracteristicilor lui TorrentLocker ține de adăugarea unui script în lanțul de execuție ce duce la executabilul final.

“Link-ul din e-mailul de tip spam conduce acum la un script PHP găzduit pe un server compromis. Scriptul verifică dacă vizitatorul ce navighează pe internet se află în țara vizată, iar în cazul în care acest lucru este conform planului, utilizatorul va fi redirecționat către o pagină unde va fi descărcată următoarea etapă a acestui malware. În caz contrar, vizitatorul este redirecționat către Google,” explică Marc-Etienne M. Léveillé.

În analizarea acestui malware și a campaniilor sale, cercetătorii de la ESET au constatat faptul că 22 de țări au primit o versiune localizată a paginii pentru răscumpărare. Cu toate acestea, 7 dintre acestea nu au fost afectate încă de nicio campanie majoră de spam legată de TorrentLocker. Acestea sunt Franța, Japonia, Martinica, Portugalia, Coreea, Taiwan și Thailanda.