Povratak ransomwarea Cryptowall: Maliciozni help (.chm) fajl u spam emailovima

Anti-spam, 10.03.2015, 00:30 AM

Stručnjaci kompanije Bitdefender upozorili su na novi talas spam emailova sa malicioznim help .CHM fajlovima inficiranim downloader malverom koji isporučuje ozloglašeni ransomware Cryptowall.

Cryptowall je unapređena verzija Cryptolockera, ransomware koji šifruje fajlove, poznat po tome što se maskira u bezazlene programe ili fajlove. Ubrzo pošto se pokrene, on započinje šifrovanje fajlova na zaraženom računaru da bi zatim žrtvi bio prikazan zahtev da plati otkup za šifrovane fajlove, pod uslovom da žrtva plati digitalnom valutom bitcoin.

Stručnjaci Bitdefendera sada upozoravaju na talas spam emailova koji su se pojavili krajem februara, i koji se šalju na email adrese korisnika u celom svetu. Analiza istraživača Bitedefendera otkrila je da su spamerski serveri u Vijetnamu, Indiji, Australiji, SAD, Rumuniji i Španiji.

Spam email poruke su osmišljene tako da prevare korisnike da pokrenu CHM fajl za koji se tvrdi da je faks, što ukazuje da sajber kriminalci ciljaju na poslovne korisnike koji se još uvek oslanjaju na faks kao sredstvo komunikacije.

Kada se pristupi sadržaju CHM arhive, maliciozni kod se preuzima sa lokacije http://*********/putty.exe, i čuva se kao %temp%\natmasla2.exe i pokreće se malver.

Reč je o malveru CryptoWall 3.0 koji je najnovija verzija ovog malvera koja je prvi put primećena sredinom januara.

Prema rečima analitičara pretnji u kompaniji Bitdefender Bogdana Botezatua, napadači koriste različite downloadere u ovoj kampanji.

Kampanja je započela 18. februara kada je oko 300 infekcija zabeleženo samo u SAD. Najpogođenije zemlje su SAD, Japan, Australija, Kanada, Nemačka, Velika Britanija i Rumunija, ali dosta infekcija ima i u Holandiji, Danskoj, Švedskoj i Slovačkoj.

CHM fajlovi obično idu u paketu sa softverom za koji sadrže uputstvo o tome kako funkcioniše. Oni se sastoje od kompresovanih HTML fajlova, slika i JavaScript sadržaja. Jedna od funkcija CHM fajla je automatsko preusmeravanje na eksterne web adrese.

Napadači koriste CHM fajlove da bi automatski pokrenuli maliciozni payload kada se fajl otvori.

“To ima smisla: manje korisničke interakcije, veće šanse za infekciju”, kaže Katalin Kozoi iz Bitdefendera.

Jedan od najboljih načina da se izbegne šteta kao posledica infekcije ransomwareom koji šifruje fajlove je da se radovno pravi rezervna kopija (backup) na izolovanom sistemu ili uređaju za skladištenje sa ograničenim pristupom. Ipak, da bi se sprečilo da do infekcije uopšte dođe najbolje je koristiti ažuriran renomirani antivirus i uzdržavati se od otvaranja fajlova i poruka koje šalju nepoznati.