Novi ransomware Big Head se širi preko lažnih Windows ažuriranja

Opisi virusa, 13.07.2023, 13:30 PM

Ransomware pod nazivom Big Head se distribuira sakriven u lažnim ažuriranjama za Microsoft Windows i lažni Microsoft Word.

Big Head su prvi primetili istraživači Fortinet FortiGuard Labsa prošlog meseca, kada je primećeno više varijanti ransomwarea koje su dizajnirane da šifruju fajlove na uređajima žrtava.

Većina infekcija je zabeležena u SAD, Španiji, Francuskoj i Turskoj.

Trend Micro je detaljno opisao funkcionisanje ransomwarea u svom novom izveštaju. Malver prikazuje lažni Windows Update korisnički interfejs kako bi zavarao žrtvu da pomisli da je u pitanju legitiman proces ažuriranja softvera.

Big Head briše rezervne kopije, prekida nekoliko procesa i vrši provere da bi utvrdio da li radi u virtuelnom okruženju pre nego što nastavi sa šifrovanjem fajlova.

On onemogućava Menadžer zadataka (Task Maneger) kako bi sprečio korisnike da prekinu ili istražuju njegov proces i prekida svoje aktivnosti ako je jezik računara ruski, beloruski, ukrajinski, kazahstanski, kirgistanski, jermenski, gruzijski, tatarski i uzbečki. Takođe, malver ima funkciju koja mu omogućava da se sam obriše i ukloni tragove svog prisustva.

Trend Micro kaže da je otkrio uzorak Big Heada koji se ponaša i kao ransomware i kao malver koji krade podatke. Taj uzorak sadrži WorldWind Stealer otvorenog koda koji koristi za prikupljanje istorije veb pregledača, liste direktorijuma, pokrenutih procesa, ključeva proizvoda i informacija o mreži.

Takođe je otkrivena i treća varijanta Big Heada koja uključuje infektor fajlova pod nazivom Neshta, koji se koristi za ubacivanje zlonamernog koda u izvršne fajlove na zaraženom uređaju.

„Ova tehnika može da učini da se deo malvera pojavi kao druga vrsta pretnje, kao što je virus, koji može da skrene prioritet bezbednosnim rešenjima koja se prvenstveno fokusiraju na otkrivanje ransomwarea“, navodi se u izveštaju.

Ko stoji iza Big Heada trenutno nije poznato, ali istraživači sumnjaju da su oni koji stoje iza ransomwarea verovatno indonežanskog porekla.

Malver je još uvek u fazi razvoja. Međutim, „bezbednosni timovi treba da budu spremni s obzirom na različite funkcionalnosti malvera“, upozorili su istraživači. „Ova višestruka priroda daje malveru potencijal da izazove značajnu štetu kada bude u potpunosti operativan, što ga čini izazovnijim za odbranu sistema, jer svaki vektor napada zahteva posebnu pažnju.“