Pod koniec ubiegłego tygodnia specjaliści z firmy Trend Micro odkryli nowego wirusa. TROJ_ARCHIVEUS.A należy do kategorii ransomware, czyli programów, które szyfrują zawartość folderów na dysku twardym zainfekowanego komputera. ARCHIVEUS jest jednak przypadkiem szczególnym: twórcy trojana obiecują odszyfrowanie danych pod warunkiem, że ofiara dokona zakupu w pewnej internetowej aptece.
Programy ransomware nie są nowością – pojawiły się po raz pierwszy w ubiegłym roku, jednak dotychczas internetowi porywacze danych zwykle żądali okupu za ich odszyfrowanie.
Według Jeffreya Abouda z Trend Micro taka taktyka jest znakiem czasu. Ciągle rośnie liczba ataków wirusowych, których celem jest wyłudzenie pieniędzy od nieświadomych użytkowników. Najbardziej popularne są phishing, programy szpiegowskie i spam, co gorsza techniki te coraz częściej wykorzystywane są jednocześnie. Szczególnie aktywne w tym obszarze są nielegalne apteki internetowe, które w miarę doskonalenia ochrony użytkowników przed spamem wyszukują coraz bardziej wyrafinowane sposoby dotarcia do potencjalnych klientów.
ARCHIVEUS atakuje folder Moje dokumenty, upakowując całą jego zawartość do jednego zaszyfrowanego folderu „EncryptedFiles.als”, a następnie kasuje oryginalne pliki. Zapisuje także w systemie dwa nowe pliki, niezbędne do odzyskania danych.
ARCHIVEUS wyświetla także informację dla właściciela danych. Rozpoczyna się ona groźbą, że próba kontaktu z Policją lub jakichkolwiek innych działań zakończy się skasowaniem plików. Jednakże pod koniec następuje gwałtowna zmiana tonu– autor podaje prosty sposób na rozwiązanie problemu: „WE DO NOT ASK YOU FOR ANY MONEY! We only want to do business with you. You can even EARN extra money with us.”(NIE ŻĄDAMY ŻADNYCH PIENIĘDZY! Chcemy tylko robić z Tobą interesy. Możesz nawet z nami zarobić!).
Niezależnie od tonu groźba jest groźbą – zaznacza Aboud, podkreślając, iż autor wiadomości podaje zakup we wspomnianej aptece jako „jedyny” sposób na odzyskanie danych.
Osobom, których komputer został zainfekowany trojanem ARCHIVEUS specjaliści Trend Micro radzą zignorować groźby i skontaktować się z dostawcą oprogramowania antywirusowego. Większość gróźb zawartych w wiadomości jest nieprawdziwa, a specjaliści łatwo potrafią wydobyć z programu hasło umożliwiające odszyfrowanie pliku. Fałszywa jest także deklaracja autora wirusa, iż programu deszyfrującego nie ma na dysku zarażonego komputera – w rzeczywistości program jest tam przez cały czas, ponieważ jest niezbędny do odzyskania danych.
Zalecenia Trend Micro:
Infekcji trojanem ACHIVEUS.A można uniknąć – wystarczy postępować zgodnie z zasadami bezpiecznego korzystania z Internetu:
• Nie otwieraj e-maili od nieznanych nadawców
• Nie otwieraj załączników e-maili od znajomych, jeżeli nie spodziewałeś się załącznika lub treść wiadomości wydaje Ci się nietypowa
• Nigdy nie klikaj na linki przesyłane w e-mailach, niezależnie do tego jak bardzo treść e-maila do tego zachęca – chyba że bardzo dobrze znasz osobę, która taki link przesyła. Jeżeli link wygląda jak adres strony firmowej lub instytucji, bezpieczniej jest otworzyć przeglądarkę i wpisać adres własnoręcznie niż klikać na link.
• Upewnij się, że masz włączone oprogramowanie antywirusowe z aktualnymi sygnaturami wirusów i spamu. Klienci Trend Micro powinni używać sygnatury OPR 3.410.00 lub późniejszych
• Jeżeli podejrzewasz, że komputer może być zainfekowany przeskanuj go programem antywirusowym. Możesz także skorzystać z darmowego skanera online HouseCall Trend Micro, dostępnego na stronie http://housecall.trendmicro.com/
Wojciech Boczoń