«Лаборатория Касперского» обнаружила новую вредоносную программу, нацеленную на вымогание денег у своих жертв: зловред CTB-Locker не относится ни к одному из известных ранее семейств и имеет ряд черт, позволяющих назвать его оригинальной разработкой.
На первый взгляд, общая схема работы шифровальщика довольно типична: троян добавляет свой исполняемый файл в список планировщика задач системы, после чего производит поиск файлов с определенными расширениями, осуществляет их шифрование и показывает пользователю требование выкупа. Изначально вредоносная программа была нацелена на англоязычных жертв, однако самые свежие образцы претерпели косметические доработки и получили поддержку русского языка.
Одной из особенностей CTB-Locker является полноценное взаимодействие с анонимной сетью Tor, в которой находится командный сервер злоумышленников. Причём код взаимодействия с Tor реализован непосредственно внутри вредоносной программы. Это позволяет ей пользоваться анонимной сетью без применения сторонних исполняемых файлов и запуска дополнительных процессов. В этом заключается принципиальное отличие нового трояна от других вредоносных программ, прибегающих к анонимности Tor: раньше злоумышленники пользовались легальным ПО от разработчиков Tor.
Кроме того, новый зловред отличается нестандартным подходом к шифрованию, с помощью которого дополнительно защищается соединение с командным сервером. В силу этого перехват отправляемой трояном информации, в частности уникального ключа, которым зашифрованы файлы, не поможет разблокировать данные пользователя.
Большинство попыток заражений CTB-Locker зарегистрированы на территории СНГ, также обнаружены единичные случаи на территории Германии, Болгарии, Израиля, ОАЭ и Ливии. Это позволяет предположить, что участие в разработке вредоносной программы принимали российские киберпреступники или, по крайней мере, выходцы из СНГ.
