«Корректор», распространяющий Trojan.Encoder, шифрует данные пользователей

28 сентября 2009 года

Компания «Доктор Веб» — ведущий российский разработчик средств информационной безопасности — сообщает о новой волне распространения Trojan.Encoder (Trojan.Encoder.34, а также 37, 38, 39, 40 и 41). Вирусы данного семейства шифруют данные на компьютерах пользователей и требуют деньги за расшифровку. Последние модификации Trojan.Encoder принадлежат перу одного автора, иногда называющего себя «Корректор».

Модификации данного семейства вирусов шифруют большинство документов на компьютере, делая невозможной работу с ними. Исключение составляют файлы, относящиеся к системе и установленным в ней программам. Заражению они не подвергаются, а компьютер продолжает работать, позволяя жертве мошенничества связаться со злоумышленником и перечислить ему требуемую сумму денег.

Особенностью последних модификаций Trojan.Encoder является то, что они добавляют к зараженным файлам окончание vscrypt — к примеру, вместо pic.jpg файл получает имя pic.jpg.vscrypt.

Trojan.Encoder в настоящее время распространяется посредством ссылок на вредоносный сайт в почтовых сообщениях. Пользователю предлагается просмотреть открытку, якобы присланную от имени сервиса открыток Мail.ru. При открытии соответствующей страницы предлагается установить кодек, который на самом деле оказывается троянской программой.

После окончания процесса шифрования файлов Trojan.Encoder выводит на Рабочий стол Windows сообщение о том, что документы зашифрованы, а также приводит контактные данные злоумышленника. На изображении показан один из вариантов отображения контактной информации.

Ежедневно в службу технической поддержки «Доктор Веб» обращаются десятки пользователей с симптомами заражения этой вредоносной программой. Общее же число жертв может быть в разы большим. Все, кто использует антивирусные решения Dr.Web, надежно защищены от данной угрозы.

Напомним, что в декабре, августе и сентябре 2008 года «Доктор Веб» уже сообщал о других модификациях этого семейства троянцев — Trojan.Encoder.33, Trojan.Encoder.20 и Trojan.Encoder.19. Большинство модификаций Trojan.Encoder предлагают пользователю воспользоваться дешифровщиком, для чего требуют перевести на счет киберпреступников от 10 до 89 долларов. Аппетит «Корректора» сопоставим с запросами авторов предыдущих модификаций — в настоящий момент пользователи-жертвы сообщают о цене в 600 рублей за один экземпляр расшифровщика.

Компания «Доктор Веб» категорически не рекомендует платить злоумышленникам выкуп. Кроме того, мы настоятельно просим пользователей не пытаться переустановить систему и восстанавливать ее из резервных копий, а обратиться за помощью в техподдержку компании «Доктор Веб», либо в специальный раздел официального форума. Для расшифровки данных можно воспользоваться специальными утилитами, разработанными специалистами компании «Доктор Веб». Доступ к этим утилитам предоставляется по запросу пользователей, выславших образцы зашифрованных файлов, которые позволят определить версию Trojan.Encoder.

http://feedproxy.google.com/~r/drweb/viruses/~3/9kqW2hFLbZE/

О «честности» вирусописателей



9 июня 2009 года Игра вирусописателей в «благородство» порой принимает комические формы. Несколько дней назад один из пользователей, который ранее не применял антивирусные решения Dr.Web, прислал нам весьма забавное письмо. В своем обращении в службу технической поддержки он сообщил, что на днях на одном из крупных российских сайтов его компьютер подхватил модификацию весьма известного троянца - Trojan.Encoder. Вредоносная программа зашифровала целый ряд файлов, среди которых оказались и те, доступ к которым пользователю нужен был здесь и сейчас. При этом его антивирус от одного из сторонних производителей никак не реагировал, в то время как опасная угроза обживалась на его компьютере. Здесь следует сделать лирическое отступление и напомнить, что о наглом поведении троянцев семейства Trojan.Encoder широким массам интернет-пользователей известно уже давно. Различные модификации Trojan.Encoder, о чем мы не раз предупреждали, проникают на компьютер жертвы, находят файлы с различными расширениями и шифруют их с помощью алгоритма RSA. Пользователю при этом предлагается заплатить деньги за расшифровку. Пойдя на поводу у киберпреступников, наш горемыка отправил на указанный Trojan.Encoder номер Yandex.Деньги сумму в 350 рублей. Здесь и началось самое интересное - получив в ответ программу расшифровки, пользователь обнаружил, что она к его Windows Vista не подходит, так как работает только с более ранними версиями Windows. Другой программы у киберпреступника не нашлось, и тогда он посоветовал пострадавшему обратиться в ... «Доктор Веб». Дело в том, что мы регулярно предлагаем пользователям бесплатные утилиты дешифровки Dr.Web от различных модификаций Trojan.Encoder. В итоге файлы были расшифрованы Dr.Web, но заплаченные деньги безвозвратно осели на счету находчивого мошенника. История и смешная, и поучительная. В своих новостях мы не раз говорили о том, что если вы заразились Trojan.Encoder, то всегда можете воспользоваться нашими утилитами. Тем не менее, и до сих пор находятся пользователи, готовые спокойно отдать злоумышленникам свои деньги. Не пополняйте их ряды – будьте бдительны, используйте надежное антивирусное ПО и, наконец, внимательно читайте наши новости, в которых мы регулярно сообщаем о новых угрозах и методах их нейтрализации.

http://news.drweb.com/show/?i=364&c=9