Знаменитый троян-вымогатель отказался вредить ПК россиян

Вымогатель TorrentLocker не работает с файлами из России Троян-вымогатель TorrentLocker отказывается работать с файлами пользователей из России, Украины, США и Китая. При этом у вымогателя не возникает проблем с шифрованием файлов в 22 других странах, включая Австралию, Австрию, Великобританию, Германию, Испанию, Нидерланды, Францию, Чехию и др. К такому выводу пришли эксперты компании ESET, проанализировав новейшие версии трояна. ESET сообщает, что схема работы TorrentLocker не изменилась в своей основе с 2014 г. – за исключением нескольких нововведений. Например, новые версии TorrentLocker пользуются криптографической библиотекой Microsoft CryptoAPI вместо LibTomCrypt, с которой вымогатель работал в 2014 г. Еще одно новшество заключается в том, что шифрованию подвергается меньший объем данных. В старых версиях программа шифровала первые 2 Мб файлов, сейчас этот объем сократился до 1 Мб. Также новые версии TorrentLocker содержат список исключений, согласно которым шифрование файлов .exe, .dll и .sys невозможно. Сайты, которые используются для распространения TorrentLocker, по-прежнему открываются только из той страны, на которую нацелена атака. Это усложняет работу вирусных аналитиков и автоматических решений для сбора данных. Изменилась модель работы с удаленным сервером – троян пытается обращаться к сервису анонимной сети Tor. Как работает TorrentLocker TorrentLocker – это модификация трояна-шифровальщика FileCoder, которая шифрует файлы пользователя, а после вымогает выкуп за дальнейшее пользование компьютером. TorrentLocker поражает все версии Windows. Программа распространяется в фишинговых письмах под видом официальных уведомлений почтовых служб, телекоммуникационных или энергетических компаний. Письмо содержит ссылку на исполняемый файл TorrentLocker, после загрузки которого программа шифрует файлы пользователя. http://filearchive.cnews.ru/img/cnews/2016/09/07/trojan590.jpg"> Троян-вымогатель TorrentLocker отказывается шифровать файлы пользователей из России, Украины, США и Китая TorrentLocker шифрует файлы на компьютере пользователя, свои конфигурационные файлы и данные для командного сервера. После блокировки файлов он определяет местонахождение жертвы по IP и требует выкуп на актуальном языке и в соответствующей валюте. TorrentLocker заботится о том, чтобы пользователь смог продолжить работу на зараженном компьютере – он не затрагивает системные файлы Windows. [b]Кампания по распространению TorrentLocker[/b] Первые случаи заражения TorrentLocker были зафиксированы в феврале 2014 г. Изначально программа вымогала у пользователей выкуп за дальнейшее пользование компьютером только в валюте Bitcoin. Сумма составляла 4.081 биткоинов, что приблизительно равнялось $1500. В декабре 2014 г. компания ESET представила статистику распространения TorrentLocker. За это время вымогатель успел заразить 39 670 компьютеров, причем пользователи 570 из них заплатили требуемый выкуп. Всего за период проведения вредоносной кампании было зашифровано около 285 миллионов документов. Эксперты ESET предположили, что TorrentLocker распространялся той же группой преступников, которая раньше занималась распространением банковского вредоносного ПО Hesperbot. Сами хакеры назвали свое новое изобретение Racketeer («Вымогатель»). Некоторые названия функций в коде программы, а также имена файлов скриптов на C&C-сервере начинаются с префикса «rack»: rack_init, rack_encrypt_pc, rack_cfg.php, rack_admin.php. Название TorrentLocker было придумано компанией iSIGHT Partners, которая столкнулась с вымогателем в августе 2014 г. Оно было взято из имени раздела реестра «Bit Torrent Application», где программа хранила конфигурационную информацию.[img]http://filearchive.cnews.ru/img/cnews/2016/09/07/trojan590.jpg"> Троян-вымогатель TorrentLocker отказывается шифровать файлы пользователей из России, Украины, США и Китая TorrentLocker шифрует файлы на компьютере пользователя, свои конфигурационные файлы и данные для командного сервера. После блокировки файлов он определяет местонахождение жертвы по IP и требует выкуп на актуальном языке и в соответствующей валюте. TorrentLocker заботится о том, чтобы пользователь смог продолжить работу на зараженном компьютере – он не затрагивает системные файлы Windows. Кампания по распространению TorrentLocker Первые случаи заражения TorrentLocker были зафиксированы в феврале 2014 г. Изначально программа вымогала у пользователей выкуп за дальнейшее пользование компьютером только в валюте Bitcoin. Сумма составляла 4.081 биткоинов, что приблизительно равнялось $1500. В декабре 2014 г. компания ESET представила статистику распространения TorrentLocker. За это время вымогатель успел заразить 39 670 компьютеров, причем пользователи 570 из них заплатили требуемый выкуп. Всего за период проведения вредоносной кампании было зашифровано около 285 миллионов документов. Эксперты ESET предположили, что TorrentLocker распространялся той же группой преступников, которая раньше занималась распространением банковского вредоносного ПО Hesperbot. Сами хакеры назвали свое новое изобретение Racketeer («Вымогатель»). Некоторые названия функций в коде программы, а также имена файлов скриптов на C&C-сервере начинаются с префикса «rack»: rack_init, rack_encrypt_pc, rack_cfg.php, rack_admin.php. Название TorrentLocker было придумано компанией iSIGHT Partners, которая столкнулась с вымогателем в августе 2014 г. Оно было взято из имени раздела реестра «Bit Torrent Application», где программа хранила конфигурационную информацию.