Программа-вымогатель

Материал из Википедии — свободной энциклопедии
Перейти к навигации Перейти к поиску

Программа-вымогатель[1][2], программа-шантажист[3] (англ. ransomware — контаминация слов ransom — выкуп и software — программное обеспечение) — тип зловредного программного обеспечения, предназначен для вымогательства, блокирует доступ к компьютерной системе или предотвращает считывание записанных в нём данных (часто с помощью методов шифрования), а затем требует от жертвы выкуп для восстановления исходного состояния.

Типы программ-вымогателей[править | править код]

В настоящий момент существует несколько кардинально отличающихся подходов в работе программ-вымогателей:

  • шифрование файлов в системе
  • блокировка или помеха работе в системе
  • блокировка или помеха работе в браузерах

Блокировка или помеха работе в системе[править | править код]

После установки Trojan.Winlock/LockScreen на компьютер жертвы программа блокирует компьютер с помощью системных функций и прописывается в автозагрузке (в соответствующих ветках системного реестра). При этом на экране пользователь видит какое-либо выдуманное сообщение, к примеру, о якобы незаконных действиях, только что совершенных пользователем (даже со ссылками на статьи законов), и требование выкупа, нацеленное на испуг неопытного пользователя — отправить платное СМС, пополнить чей-либо счёт[4], в том числе анонимным способом вроде BitCoin. Причём, трояны этого типа часто не проверяют пароль. При этом компьютер остаётся в рабочем состоянии. Часто присутствует угроза уничтожения всех данных, но это всего лишь попытка запугать пользователя[5]. Иногда в вирус все же включают инструменты уничтожения данных, таких как шифрование по асимметричному ключу, но они либо не срабатывают должным образом, либо имеет место низкоквалифицированная реализация. Известны случаи наличия ключа расшифровки файлов в самом коде трояна, а также технической невозможности расшифровки данных самим взломщиком (несмотря на оплаченный выкуп) по причине отсутствия или утери этого ключа даже у него.

Иногда удается избавиться от вируса, воспользовавшись формами разблокировки на антивирусных сайтах или специальными программами, созданными антивирусными компаниями для разных географических регионов действия троянов и, как правило, доступными свободно. Кроме того, в некоторых случаях, в безопасном режиме возможно в диспетчере задач отыскать процесс трояна, найти его файл и удалить. Также, стоит учесть, что троян способен, в некоторых случаях, сохранять работоспособность и в безопасном режиме. В таких случаях, необходимо войти в безопасный режим с командной строкой и запустить процесс explorer в консоли и удалить троян либо воспользоваться сервисами антивирусных программ.

Шифрование файлов в системе[править | править код]

После установки на компьютер жертвы программа зашифровывает большую часть рабочих файлов (например, все файлы с распространёнными расширениями). При этом компьютер остаётся работоспособным, но все файлы пользователя оказываются недоступными. Инструкцию и пароль для расшифровки файлов злоумышленник обещает прислать за деньги.

Вирусы-шифровальщики появились хронологически после винлокеров. Их распространение связано с UAC и оперативными исправлениями Microsoft: прописаться в системе без ведома пользователей становится сложнее, но компьютер-то предназначен, чтобы работать с пользовательскими файлами. Их можно испортить даже без административных привилегий.

К таким программам-мошенникам относятся

Способы распространения[править | править код]

Программы, относящиеся к ransomware, технически представляют собой обычный компьютерный вирус или сетевой червь, и заражение происходит точно так же — из массовой рассылки при запуске исполняемого файла или при атаке через уязвимость в сетевой службе.

Основные пути распространения ransomware:[6]

Способы борьбы[править | править код]

Общие правила личной информационной дисциплины:

  • регулярное резервное копирование важных файлов;
  • наличие на компьютере антивируса уровня Internet Security со свежими базами;
  • проверка антивирусом всех новых программ перед их первым запуском;
  • запуск подозрительных программ в виртуальной среде («безопасная среда», «песочница»), если антивирус предоставляет такую возможность;
  • регулярное обновление компонентов операционной системы (Windows Update);
  • презумпция виновности и предвзятости ко всем получаемым бинарным файлам любым способом.

В случае когда заражение уже произошло, стоит воспользоваться утилитами и сервисами, которые предоставляют антивирусные компании. Однако устранить заражение без выплаты выкупа удается далеко не всегда[10].

История[править | править код]

Вирусы-вымогатели начали заражать пользователей персональных компьютеров с мая 2005 года. Известны следующие экземпляры: TROJ.RANSOM.A, Archiveus, Krotten, Cryzip, MayArchive. Наиболее известен вирус Gpcode (PGPCoder[en]) и его варианты — Gpcode.a, Gpcode.aс, Gpcode.ag, Gpcode.ak (последний примечателен тем, что использует для шифрования файлов алгоритм RSA с 1024-битным ключом).

В марте 2013 года специалистами компании Dr. Web обнаружен шифровальщик ArchiveLock, атаковавший пользователей Испании и Франции, который для выполнения вредоносных действий по шифрованию файлов использует легальный архиватор WinRAR[11], а затем после шифрования безвозвратно удаляет оригинальные файлы утилитой Sysinternals SDelete[12].

О масштабах возникшего криминального бизнеса говорит следующий факт. В конце 2013 года шифровальщик CryptoLocker использовал платёжную систему Bitcoin для получения выкупа. В декабре 2013 года журнал ZDNet провёл, основываясь на доступности информации о транзакциях Bitcoin, оценку переводов средств от заражённых пользователей за период с 15 октября по 18 декабря и только к окончанию этого периода операторам CryptoLocker удалось собрать около 27 миллионов долларов, по актуальной в то время цене биткойнов.[13]

Известные атаки

2017: WannaCry (май)[14]; Petya (июнь)[15][16]; Bad Rabbit (октябрь)[17]

2022: осенью появилось более 50 фишинговых сайтов, распространяющих программу для разгона видеокарт MSI Afterburner, зараженную вирусом RedLine[18].

География[править | править код]

Пользуясь интернетом, злоумышленники могут действовать во всем мире: только в Австралии, по официальным данным, с августа по декабрь 2014 года произошло около 16 тыс. эпизодов онлайн-вымогательства, при этом общая сумма выкупа составила около 7 млн долларов[10].

"Русский" след

По мнению специалистов, косвенные признаки указывают на связь разработчиков программ-вымогателей c бывшими республиками СССР и Россией. В пользу этой версии говорят следующие факты[19]:

См. также[править | править код]

Примечания[править | править код]

  1. ↑ Термины ИТ: о профессиональном жаргоне с юмором. Дата обращения: 28 февраля 2018. Архивировано 1 марта 2018 года.
  2. ↑ Программы-вымогатели – Ransomware - Защита от вредоносного ПО - Cis. Дата обращения: 28 февраля 2018. Архивировано 3 ноября 2017 года.
  3. ↑ Terminology Search - Microsoft Language Portal. Дата обращения: 16 сентября 2017. Архивировано 31 октября 2017 года.
  4. ↑ Григорий Собченко. Мошенников поймали за SMS. Коммерсантъ. kommersant.ru (27 августа 2010). Дата обращения: 11 апреля 2013. Архивировано 17 мая 2014 года.
  5. ↑ Алексей Дмитриев. Новые программы-вымогатели грабят нас через популярные браузеры. Московский комсомолец. Московский комсомолец (2 апреля 2013). Дата обращения: 9 апреля 2013. Архивировано 19 апреля 2013 года.
  6. ↑ Названы главные угрозы в Сети: китайские хакеры и трояны-вымогатели. Новые известия. newizv.ru (26 января 2010). Дата обращения: 11 апреля 2013. Архивировано 17 мая 2014 года.
  7. ↑ Вячеслав Копейцев, Иван Татаринов. Троянцы-вымогатели. SecureList. securelist.com (12 декабря 2011). Дата обращения: 11 апреля 2013. Архивировано 5 сентября 2012 года.
  8. ↑ Как устроен жизненный цикл современной атаки с использованием программы-вымогателя : [арх. 8 марта 2023] // Republic. — 2023. — 2 марта.
  9. ↑ Скулкин, 2023, Гл. 2. Жизненный цикл современной атаки с использованием программы-вымогателя.
  10. ↑ 1 2 «Ransomware:Your money or your data» // The Economist, Jan 17th 2015 / Архивная копия от 23 января 2015 на Wayback Machine
  11. ↑ Вредонос шифрует файлы на компьютерах жертв при помощи WinRAR. Anti-Malware.ru. anti-malware.ru (15 марта 2013). Дата обращения: 9 апреля 2013. Архивировано 17 апреля 2013 года.
  12. ↑ Андрей Васильков. Табун иноходцев: десять самых оригинальных и популярных троянов современности. Компьютерра. computerra.ru (21 марта 2013). Дата обращения: 17 апреля 2013. Архивировано 5 мая 2013 года.
  13. ↑ Violet Blue. CryptoLocker's crimewave: A trail of millions in laundered Bitcoin (англ.). ZDNet (22 декабря 2013). Дата обращения: 4 июля 2015. Архивировано 23 декабря 2013 года.
  14. ↑ Хакерская атака мирового масштаба. Вирус-вымогатель атаковал компьютеры по всему миру Архивная копия от 29 июля 2017 на Wayback Machine // Газета.ру, 12.05.2017
  15. ↑ Вирус-вымогатель атаковал российские компании Архивная копия от 27 июня 2017 на Wayback Machine // РГ, 27.06.2017
  16. ↑ Вирус Petya атаковал Чернобыльскую АЭС // РГ, 27.06.2017 / Архивная копия от 27 июня 2017 на Wayback Machine
  17. ↑ "Group-IB: вирус-шифровальщик Bad Rabbit атаковал российские СМИ". ТАСС. Архивировано из оригинала 26 октября 2017. Дата обращения: 26 октября 2017.
  18. ↑ Программу для разгона видеокарт MSI Afterburner использовали для рассылки опасного вируса Архивная копия от 26 ноября 2022 на Wayback Machine // Газета.ru, 25 ноября 2022
  19. ↑ Why cyber gangs won't worry about US-Russia talks // BBC, 20.06.2021 / Архивная копия от 22 июня 2021 на Wayback Machine

Литература[править | править код]

  • Скулкин, О. Шифровальщики : Как реагировать на атаки с использованием программ-вымогателей. — М. : Альпина Pro, 2023. — 205 с. — ISBN 978-5-206-00080-1.

Ссылки[править | править код]

Публикации компаний:

Статьи:

Источник — https://ru.wikipedia.org/w/index.php?title=Программа-вымогатель&oldid=136364942