Международная компания Group-IB , специализирующаяся на предотвращении и расследовании преступлений с использованием высоких технологий, сообщила о новой масштабной атаке вируса-шифровальщика Troldesh (Shade). Злоумышленники рассылают письма с вредоносным программным обеспечением от имени автодилеров, сотрудников СМИ и авиакомпаний.
Только в июне Group-IB обнаружила более 1100 отправлений, содержавших вирус. С начала года фишинговых рассылок зафиксировано более 6000.
Вирус Troldesh, также известный под именами Shade, XTBL, Trojan.Encoder.858, Da Vinci, No_more_ransome, попадая в устройство пользователя, шифрует файлы, а затем требует выкуп за восстановление доступа к информации. Центр управления рассылкой размещён в сети Tor, установили специалисты Group-IB. Адрес регулярно меняется, и это осложняет его блокировку. Кроме того, Troldesh продают и сдают в аренду на спецплощадках в даркнете (скрытая файлообменная сеть — прим. ред.), поэтому способы распространения вируса и его функциональность постоянно обновляются.
Так, например, последние инциденты с вредоносной программой показали, что вирус способен не только шифровать файлы, но и майнить криптовалюту. Кроме того, он может генерировать трафик на интернет-ресурсы, увеличивая посещаемость.
Впервые активность Troldesh эксперты Group-IB зафиксировали в 2015 году. Вирус успешно обходил средства защиты. Злоумышленники регулярно меняли программу-упаковщик, которая уменьшает размер файла и создавала сложности в обнаружении вредоносного ПО. К концу 2018 году Troldesh стал одним из самых распространённых вирусов-вымогателей.
В мае эксперты обнаружили вирус, похищающий контакты и переписку из Telegram. Осенью 2018 года полиция предупредила калининградцев о новых вредоносных программах для смартфонов на Android.