«Доктор Веб» предупреждает о появлении в Интернете множества программ-вымогателей

Программы-вымогатели

В последние годы создание вредоносных программ с деструктивным функционалом полностью перешло на коммерческую основу. Таким образом, выделился новый класс вирусных угроз — "программы-вымогатели".

Распространение подобного вредоносного ПО началось в 2005 году. С этого времени пошло распространение троянцев, которые с помощью различных алгоритмов шифровали документы пользователей, а для расшифровки предлагали связаться с авторами вредоносной программы. Позже в сообщениях, встраиваемых в данные программы, явным образом сообщалось о размере выкупа и о способах его отправки. По классификации Dr.Web данные вредоносные программы имеют названия Trojan.PGPCoder, а также Trojan.Encoder с его многочисленными модификациями. Для расшифровки файлов специалисты компании "Доктор Веб" разрабатывают специальные утилиты, которые можно бесплатно скачать на сайте компании.

Несмотря на то, что троянцы, блокирующие доступ к Windows, получили существенное распространение в текущем году, первые образцы подобных программ (Trojan.Winlock) появились одновременно с программами-шифровальщиками в том же 2005-м. Так, один из первых экземпляров Trojan.Winlock запрашивал отправку выкупа через платёжную систему "Яндекс.Деньги".

Следующим шагом в упрощении злоумышленниками методов незаконного получения денег стал выбор в пользу платных SMS-сообщений, которые могли бы отправлять жертвы из разных стран мира, используя различных операторов связи.

На этой волне, начиная с 2008 года появилось множество реализаций порно-баннеров (Trojan.Blackmailer), для удаления которых из браузеров требовалась отправка SMS-сообщений. Подавляющее число таких троянцев создаётся для браузера Internet Explorer. Впрочем, в последнее время появились реализации и для Mozilla Firefox, а также Opera.

Метод выкупа посредством SMS-сообщений был также применён в блокировщиках Windows – новых модификациях Trojan.Winlock. Для разблокировки Windows в таких случаях был реализован и постоянно обновляется расположенный на сайте компании "Доктор Веб" специальный генератор. Также для детекта различных вариантов Trojan.Winlock вирусные аналитики компании разработали специальные записи Trojan.Winlock.origin, позволяющие определять даже те модификации подобных вредоносных программ, которые не успели попасть в вирусную лабораторию.

В последнее время дизайн модификаций Trojan.Winlock стал более агрессивным. В него встраивается таймер с обратным отсчётом, также сообщается о том, что попытка переустановить систему приведёт к потере данных.

Появилось также и множество подражателей Trojan.Winlock, отличающихся низким качеством. Часто для разблокировки системы в этом случае требуется ввести жёстко прописанный в коде троянца пароль. Кроме того, в некоторых случаях функция разблокировки может вообще не входить в состав такого вредоносного ПО. Например, в одной из них предлагается отправить SMS на определённый номер. Такое сообщение всего лишь увеличивает рейтинг вирусописателя в одной из социальных сетей, в то время как операционная система остается заблокированной.