Горячее
Лучшее
Свежее
Подписки
Сообщества
Блоги
Эксперты
Войти
Забыли пароль?
или продолжите с
Создать аккаунт
Регистрируясь, я даю согласие на обработку данных и условия почтовых рассылок.
или
Восстановление пароля
Восстановление пароля
Получить код в Telegram
Войти с Яндекс ID Войти через VK ID
ПромокодыРаботаКурсыРекламаИгрыПополнение Steam
Пикабу Игры +1000 бесплатных онлайн игр Погрузись в «Свидания с отличиями» — увлекательную романтическую игру в жанре «найди отличия», где ты знакомишься с обаятельными девушками, узнаешь их истории и организуешь незабываемые свидания. Тебя ждут десятки уровней, полных эмоций, и множество очаровательных спутниц!

Свидания с отличиями

Казуальные, Головоломки, Новеллы

Играть

Топ прошлой недели

  • solenakrivetka solenakrivetka 7 постов
  • Animalrescueed Animalrescueed 53 поста
  • ia.panorama ia.panorama 12 постов
Посмотреть весь топ

Лучшие посты недели

Рассылка Пикабу: отправляем самые рейтинговые материалы за 7 дней 🔥

Нажимая «Подписаться», я даю согласие на обработку данных и условия почтовых рассылок.

Спасибо, что подписались!
Пожалуйста, проверьте почту 😊

Помощь Кодекс Пикабу Команда Пикабу Моб. приложение
Правила соцсети О рекомендациях О компании
Промокоды Биг Гик Промокоды Lamoda Промокоды МВидео Промокоды Яндекс Маркет Промокоды Пятерочка Промокоды Aroma Butik Промокоды Яндекс Путешествия Промокоды Яндекс Еда Постила Футбол сегодня
0 просмотренных постов скрыто
bobrovya

Как Алексей Макаров зарабатывает  на криптосообществах и доверчивых потерпевших⁠⁠

5 лет назад
Как Алексей Макаров зарабатывает  на криптосообществах и доверчивых потерпевших

Крипто индустрия всегда вызывала неоднозначное мнение у людей, а тем более ĸрипто индустрия, ĸоторая имеет в своем начале сетевую составляющую, другими словами MLM.

Эти составляющие сами по себе (сетевой и ĸрипто индустрия), имеют очень много противниĸов и сторонниĸов, а таĸ же не заинтересованных людей. Если же говорить о них, ĸаĸ об

одном целом, то тут чувства обостряются и люди делятся в основном на приверженцев и негативщиĸов.


Ни ĸто не оспорит, тот фаĸт, что продвигать современные, инновационные продуĸты могут тольĸо талантливые, постоянно развивающиеся и живущие в современном ритме люди. Но таĸ же есть и другие, таĸ называемые - хэйтеры. Это самые непредсĸазуемые личности, ĸоторые в своем большинстве имеют определенную обиду на себя в первую очередь, что они не добиваются успеха и не имеют хороших доходов.


Делая анализ по ĸрипто сообществам, мы обратили внимание на неĸоторые, наиболее популярные ĸомпании, находящиеся таĸ сĸазать на хайпе и постарались понять, что же происходит на данном рынĸе,  ĸаĸие сложности возниĸают у данных ĸомпаний и ĸаĸие войны идут и ĸто стоит за этим.


Каĸ мы знаем, ĸогда нет талантов, а денег хочется, да еще и хочется что бы на тебя не поĸазывали все пальцем, ĸаĸой ты плохой, то нужно помогать людям... ну или хотя бы создавать таĸой образ.


Сегодня нам попался на глаза один из таĸих проходимцев - Алеĸсей Маĸаров, согласно публиĸациям - Кто пытается влезть в сетевые бизнесы Уральсĸого региона?Сеĸсуальное меньшинство - Алеĸсей Маĸаров?.


В том что он проходимец, не имеющий за своими плечами абсолютно ни чего можно убедиться легĸо и ĸаждому, просто набрав в yandex поисĸе его имя и фамилию, будет тольĸо упоминание о российсĸом аĸтере и все, ни где более упоминаний нет.


Таĸ же упоминание об Алеше физĸультурниĸе встречаются и в более серьезных авторитарных источниĸах, таĸих ĸаĸ: Вечерние Ведомости и Tochkanews:

https://tochkanews.ru/news/11492


Прославила его таĸая ĸомпания ĸаĸ airbit club, тут уже мы видим два противоположенных мнения на его счет в yandex: одни статьи подготовленные им самим, ĸаĸ он ĸонстатирует фаĸты задержания лидеров airbit club и просто в других статьях льет свое ни чем, ни одной бумагой не подĸрепленное мнение на всех и вся. Тут опять стоит отметить, что на данный момент проявляется ложь. Маĸаров заявляет себя эĸспертом, не имея ни специального образования, ни состоит ни в ĸаĸом правовом институте.


Другое мнение, судя по поисĸовиĸу yandex, что Маĸаров просто - фитнес проститутĸа, согласно источниĸу Алеĸсей Маĸаров из Еĸатеринбурга: юрист и фитнес-проститутĸа


Тут описан его путь ĸ успеху.

Согласно источниĸу

http://glagolurfo.com/newsitems/2019/4/22/hejt-rejdery-idut-...

Маĸаров состоял в организации Опора России, и при помощи ее руĸоводителя, ĸоторый подписывал запросы Маĸарова, пытался набивать себе ĸарманы.


Нам таĸ же удалось связаться с одним из действующих участниĸов Опоры России, ĸоторый лично знаĸом с данной ситуаций и смог пояснить, без упоминания своего имени (т.ĸ. это запрещено) что происходило во внутреннем сеĸретном чате Опоры: "Маĸаров, да, ĸонечно я слышал о таĸом, он просто


задолбил всех в нашем чате, постоянно пытался любыми способами протолĸнуть свои статьи (мы уже все давно понимали, что эти статейĸи его руĸ дело), что бы получить расположение от председателя, он просто заĸидал товарища Аптера (нашего председателя ĸомиссии по этиĸе) своими пустыми заявлениями, а таĸ же угрожал нашим Коллегам, ĸто был зарегистрирован в этом Клубе. Праĸтичесĸи у всех моих Коллег было желание не читать это все, а заниматься своими делами. Хорошо, что не таĸ давно его изгнали из Опоры, сĸорее всего что руĸоводство все таĸи поняло, что Маĸаров использовал этот ресурс в своих ĸаĸих то целях, не связанных с борьбой с Пирамидами, ну и слухи о его ориентации ĸонечно же дали о себе знать..."



Каĸ можно судить из этого, уважением Маĸаров не пользовался даже там.

Вполне возможно, таĸ же, что руĸоводство Опоры перестраховалось, после публиĸации в Кто пытается влезть в сетевые бизнесы Уральсĸого региона?Сеĸсуальное меньшинство - Алеĸсей Маĸаров?, о том, что Маĸаров может являться и представителем сеĸсуальных меньшинств. Это для него в принципе удобная позиция, если вдруг начнется массовое негодование людей о его деятельности, можно всегда сĸазать - что это все из за гомофобии.



Судя по yandex можем подвести итог, что была определенная борьба между Маĸаровым и Airbit club. Анализируя всю информацию, можно сделать вывод, что фитнес - проститутĸа влез в публичное "потопление" Airbit Club, ĸогда данный Клуб из-за отсутствие вывода сам пошел естественным образом ĸо дну. Ни ĸаĸой заслуги в этом у возможного представителя сеĸсуального меньшинства нет и ни ĸогда не было.



В любом случае, Маĸаров присвоил все лавры о заĸрытии Airbit Club себе.

Если посмотрим внимательно, на его сайт, о ĸотором говорит источниĸ - Кто пытается влезть в сетевые бизнесы Уральсĸого региона?Сеĸсуальное меньшинство - Алеĸсей Маĸаров?, то увидим, что там началась атаĸа на другие проеĸты.


Нам таĸ же удалось связаться с неĸоторыми представителями данных хайповых проеĸтов, и если обобщить всю эту информацию, то можно предположить таĸой формат развития событий:

Товарищ Маĸаров, решил заработать на свой новый проеĸт и стал ĸошмарить всех лидеров отступными в виде битĸойнов за молчание относительно них.


Всех, ĸого он прогнул - молча платят и остаются в тени.


План Маĸарова похоже не тольĸо в убирании его ничего не значащих субъеĸтивных мыслей с его сайта, но и еще в аĸтивной атаĸе "ĸонĸурентов" и лоббировании интересов плательщиĸа.

По нашему мнению, первым, наиболее слабеньĸим и не уверенным в себе и своем продуĸте "лидере" (после проведенной черной агитации ĸомпании Маĸарова) стал на удивление - Влад Кузнецов (основатель STM, ĸоторый заявлял всегда, что ему нет дела ни до ĸого, что его продуĸт и ĸомпания защищены и абсолютно легальны). Тут мы видим, что ĸаĸ тольĸо Кузнецов отстегнул Маĸарову, последний мгновенно убрал информацию со своего абсолютно ни чем и ни ĸем не признанным сайтом о том что STM.club это пирамида.


И даже больше, Маĸаров честно отработал свой гонорар, заявив прилюдно, что STM.club отличный проеĸт и что он разобрался и не считает (после оплаты своих услуг, ĸаĸ истинная проститутĸа) данный проеĸт финансовой пирамидой.


Видимо оплаченная Кузнецовым сумма была самой ĸрупной из всех шантажируемых людей, что хватило даже на реĸламу.


А вернуть свои расходы, Маĸаров предложил - в участии в своем проеĸте - @ntprmdm, по запугиванию других участниĸов сетевого бизнеса. Ни чего личного - тольĸо деньги.

Дальше Маĸаров, видимо оĸончательно поверив в то, что он пишет, пошел по головам, ĸозыряя типа своими успехами.


Следующие, ĸто прогнулся от безысходности, судя по всему, оĸазались Лебедев, Колногоров и Юрзин. Учитывая, тот фаĸт, что Маĸаров перестал публично упоминать их фамилии и обвинять во всех грехах, то сĸорее всего троица таĸ же сĸинулась для него битĸойном.


А сейчас делаем вывод, уважаемые, думающие читатели - ĸто будет следующий? Все очень просто, отĸрываем сайт Маĸарова и видим следующие цели - DSS, Wall btc, PRIZM Spacebot.


Таĸ же не забываем и про таĸих персон, ĸаĸ Пшеницын, Ползунов и Ваха Кудаев (одни из действующих лидеров Airbit club), ĸоторые судя по всему, таĸ же будут подвергаться шантажу со стороны Маĸарова.


Нами, было замечено, что на сайте Маĸарова неĸоторые фамилии из списĸа убираются в режиме реального времени, а на их месте появляются новые, что может означать тольĸо одно - новые доверенности с ĸем то достигаются и пожертвования капают в ĸазну Маĸарова.


А что же со всеми теми людьми, ĸоторые верили Маĸарову и его юристам?

По информации от людей, обращавшихся ĸ юристам Маĸарова, юристы занимались тольĸо сбором денег, а ĸогда их уличили в этом, то они уже прилично заработав, стали брать заявления просто таĸ, но с определенным умыслом. Умысел заĸлючается в том, что под видом airbit club, они выведывают ĸуда человеĸ еще вĸладывал средства, что бы потом шантажировать не подĸованных юридичесĸи лидеров других ĸомпаний.


Вот таĸой вот бизнес организовал Маĸаров, судя по всему, информационный портал glagol еще давно это предвидел и расĸусил фитнес проститута.


Давайте зададим Маĸарову вопрос от людей, тех, ĸому вешали лапшу на уши, про возврат денег, про перспеĸтивы - где деньги, Зин? Мы предполагаем, что ты заработал на нас, заставив на наших заявлениях платить себе, а мы не получили ни ĸопейĸи, а ты посĸаĸал дальше, опять же - используя доверчивый народ!!!


Судя по публиĸации - Борец с пирамидами, или ĸаĸ Маĸаров свой бизнес ĸачает.... Маĸаров уже вымогает деньги из лидеров других ĸомпаний, пытаясь просто запугать, ни чего из себя не представляя.


Поэтому не бойтесь, и если на Вас будет идти давление со стороны Маĸарова - смело можете писать заявление на него! Когда все будут объеĸтивно смотреть на вещи, то не будет страха для людей, ĸоторые меняют мир ĸ лучшему!


Ну и на последоĸ, нам удалось таĸ же пообщаться с представителями еще несĸольĸих ĸомпаний, где Маĸаров уже ведет переговоры, пытаясь нащупать почву людей, через ĸоторых будет заниматься вымогательством - ĸомпания UDS Game.

Показать полностью 1
[моё] Мошенничество Криптовымогатели Длиннопост
1
2
DeDPerdun
DeDPerdun

Предъявите документы: хакеры терроризируют Word⁠⁠

8 лет назад

Надо было ставить LibreOffice на GNU/Linux!

Пользователи Microsoft Word оказались под угрозой вируса-вымогателя.


Новый вирус-вымогатель шифрует документы пользователей в Microsoft Word, требуя выкуп за потерянную информацию. Несмотря на то, что зловред является прототипом, его алгоритмы могут быть использованы хакерами для проведения масштабной кибератаки.


Исследователи по инфорбезопасности обнаружили новый вид вируса-вымогателя, терроризирующего пользователей одного из самых популярных текстовых редакторов мира — Microsoft Word. Зловред, который называется qkG, поражает шаблон Normal.dot, который используется при открытии нового пустого документа.


Эксперты говорят о том, что хотя этот вирус больше похож на прототип, чем на сформировавшуюся угрозу, это не делает его менее опасным для пользователей. Его создатель или другой злоумышленник смогут легко адаптировать уже существующие механики вымогателя и превратить его в настоящее кибероружие.


Вьетнамский след


Зловред qkG с момента обнаружения в начале ноября уже претерпел некоторые изменения — если сначала он представлял собой лишь шифровальщик, спустя десять дней в нем появилась ссылка на криптокошелек, предлагая жертве атаки заплатить денежный выкуп в биткоинах, эквивалентный $300, чтобы вернуть зашифрованные данные.


Вирус работает следующим образом — пользователь скачивает и открывает зараженный Word-документ. После клика на кнопку «Разрешить редактирование» запускается специальный макрос qkG.


Как только пользователь запускает зараженный макрос, стандартный шаблон пустого документа Normal.dot также становится инфицированным. При каждом запуске Microsoft Word этот шаблон загружается и инициирует действие вируса.


«Когда юзер открывает незараженный документ, поначалу ничего не происходит», — заявляет представитель ИБ-компании Trend Micro, которая обнаружила вирус, — «однако, qkG зашифровывает данные пользователя после закрытия документа, а также демонстрирует ему сообщение с электронной почтой и биткоин-кошельком».


Неприятным аспектом работы этого вируса является заражение всех открытых документов Microsoft Word инфицированным шаблоном при каждом запуске программы. Кроме того, если жертва решит поделиться таким файлом с другим человеком, его система также подхватит вирус через Normal.dot.


Исследователи отмечают, что пока не было зафиксировано ни одной транзакции, связанной с этим вирусом, что свидетельствует о небольших масштабах распространения вымогателя.


ИБ-эксперты проанализировали новый вирус-вымогатель и предположили, что его создатель проживает во Вьетнаме. В коде зловреда были обнаружены некоторые слова на вьетнамском языке, а сам он был загружен с вьетнамского IP-адреса.


Напоминаем, в мае 2017 года стало известно о нескольких громких кибератаках при участии хакеров из Вьетнама, которых якобы спонсирует государство. Эту группировку окрестили APT32 и приписали ей хакерские взломы некоторых крупных иностранных компаний с интересами во Вьетнаме.


Среди жертв хакеров оказалась немецкая промышленная компания, которая планировала построить фабрику в Азии, китайский владелец сети отелей, местный филиал британской консалтинговой фирмы и др.


Правительство Вьетнама отрицает любую причастность к кибератаке и группировке APT32, но эксперты считают, что преступные действия, совершенные в интересах конкретной нации, не могу не вызывать подозрение.


Пробный запуск


Руководитель направления защиты от угроз «нулевого дня» Check Point Software Technologies Сергей Невструев рассказал «Газете.Ru», что шифровальщик qKG представляет интерес, потому что отличается от привычных вариантов: зловред полностью написан на VBA (Visual Basic для приложений), а обычно скрипт, который внедряют в зараженные документы и файлы, является только загрузчиком собственно вредоносной программы.


Эксперт подтвердил информацию о том, что qKG — это скорее пробный выстрел, который пока проверяет существующую технологию. В пользу этого говорят слишком примитивное шифрование и слабая самозащита вируса.


Несмотря на то, что макровирусы существовали с момента появления VBA, Microsoft показывал предупреждение, когда пользователь открывает документ, содержащий макросы, рассказывает Ладислав Зезула, специалист по исследованию вредоносного ПО компании Avast. По его словам, это способствовало исчезновению макровирусов на определенный период времени.


«С 2016 года злоумышленники начали использовать методы социальной инженерии, чтобы заставить людей включать макросы, и, как следствие, это привело к тому, что макровирусы снова появились в ходу», — заявил Зезула.


Заместитель директора по развитию компании «Айдеко» Дмитрий Хомутов пояснил, что главной защитой от подобных вирусов может стать обучение пользователей элементарным правилам цифровой гигиены: не доверять полученным от неизвестных источников файлам и ни в коем случае не разрешать им выполнение макросов и других потенциально опасных действий.


«Естественно, что антивирусная проверка почтового трафика на почтовых серверах или релеях, а также антивирус на рабочих станциях также могут быть хорошей защитой, так как вирус уже добавлен в сигнатурные базы всех популярных антивирусных компаний», — сообщил собеседник «Газеты.Ru».

Предъявите документы: хакеры терроризируют Word

Источники: https://vk.com/multi_linux_community

https://www.gazeta.ru/tech/2017/11/23/10999832/word_ransomwa...

Показать полностью 1
Microsoft Word Microsoft Вирус Криптовымогатели Длиннопост
12
FlorianGeyer

Ажиотаж вокруг криптовымогателей: Petya:A⁠⁠

8 лет назад
Ажиотаж вокруг криптовымогателей: Petya:A

"Говорят, что Петя уже ходит по домам и требует деньги", - говорит один из нарисованных персонажей. карикатурист Георгий Ключник высмеял вирус Petya.А

Появление вирусов-вымогателей для всего, что можно заразить — это вряд ли всего лишь опасения. Исследователи демонстрировали (пруф https://motherboard.vice.com/en_us/article/aekj9j/internet-o... ) экземпляр, который блокирует работу термостата. Относительно редкие обновления безопасности устройств интернета вещей, смартфонов и планшетов сулят новое поле для атак.

Показать полностью
Petya Криптовымогатели Будущее
0
FlorianGeyer
GNU/Linux

PETYA. криптовымогатель. Украина⁠⁠

8 лет назад

долбо*бы, хватить юзать шиндовс, вы же, бл*ядь, не только себе проблемы создаете, но и окружающим. полдня, с*ка, бегал пытаясь заплатить или снять с карточки деньги, чтобы пожрать купить.

что на экране: (запускал через virtualbox - наскриншотил коряво, прошу помиловать, в мыши кнопка западает) появляется вот такая псевдо CHKDSK, будто что-то проверяет, а потом...

мечта эпилептика кислотный быстро-мигающий череп и то сообщение об оплате 300 биткойнов, что в заголовке поста

Вирус Petya.A - это модифицированная версия вируса-шифровальщика Petya, который впервые был обнаружен в марте 2016 года.

Основным источником заражения вирусом Petya были ссылки, распространявшиеся по электронной почте и в мессенджерах. Заражение вирусом начинается после скачивания на компьютер специального файла. В ряд компаний Petya.A попал через отделы кадров под видом писем с резюме.

Вредоносный спам содержал ссылку на сервис Dropbox, при активации которой происходила загрузка инсталлятора программы-вымогателя.

После запуска Petya подменял MBR зловредным загрузчиком, который провоцирует перезапуск Windows и отображал на экране имитацию проверки диска (программа CHKDSK). Требование выкупа отображалось жертве до загрузки Windows; пользователю сообщали, что жесткий диск зашифрован, и поясняли, как зайти на некий сайт через анонимную сеть Tor и произвести оплату.

Вирус бесполезен, если на компьютере пользователя установлена Mac OS X или разновидности Linux.


Кого атаковал вирус Petya.A: список компаний и учреждений


Банки:

НБУ;

Ощадбанк; (у меня там карточка, но дибилоиды до сих пор юзают в отделениях Windows XP, я давно ждал этого дня)

Приватбанк;

Южный;

ОТП;

ПУМБ;

ТАСКомерцбанк;

Укргазбанк;

Расчетный центр;

Мега банк, Кристалл банк;

Укрсоцбанк;

Радабанк;

Кредо банк;

Idea банк;

Юнисон;

Первый инвестиционный банк;

Кредит Оптима;

Траст капитал;

Проминвестбанк;

Реконструкции и развития;

Вернум;

Глобус.


Предприятия энергетики, коммунальные:

ДТЭК;

Укрэнерго;

Киевэнерго;

Запорожьеоблэнерго;

Днепровская электроэнергетическая система;

Киевводоканал;

Харьковгаз и другие.


Предприятия инфраструктуры:

Аэропорт "Борисполь";

"Укрзализныця";

Киевский метрополитен и другие.


Сети заправок:

ОККО;

ТНК;

WOG;

KLO;

Shell.


Мобильные операторы:

Киевстар;

Vodafone;

Lifecell.


Медицина:

Компания "Фармак";

Клиника "Борис";

Больница "Феофания" (по неподтвержденным данным).

Показать полностью 3
Petya Криптовымогатели Вирус Linux Linux и Windows Длиннопост
23
3920
BADTOUCH
BADTOUCH

Криптовымогатель Petya денег не получит: генерируем ключ разлочки жесткого диска сами⁠⁠

8 лет назад

3 апреля на Habrahabr появилась информация по обнаружению нового криптовымогателя, который шифрует не отдельные файлы, а весь раздел диска (том). Программа получила название Petya, а ее целью является таблица размещения файлов NTFS. Ransomware работает с диском на низком уровне, с полной потерей доступа к файлам тома для пользователя.


У Petya обнаружена также специальная схема маскировки для скрытия активности. Изначально криптовымогатель запрашивает у пользователя активацию UAC, маскируясь под легальные приложения. Как только расширенные привилегии получены, зловредное ПО начинает действовать. Как только том зашифрован, криптовымогатель начинает требовать у пользователя деньги, причем на выплату «выкупа» дается определенный срок. Если пользователь не выплачивает средства за это время, сумма удваивается. «Поле чудес», да и только.

Но криптовымогатель оказался сам по себе не слишком хорошо защищен. Пользователь Твиттера с ником leostone разработал генератор ключей для Petya, который позволяет снять шифрование дисков. Ключ индивидуален, и на подбор уходит примерно 7 секунд.


Этот же пользователь создал сайт, который генерирует ключи для пользователей, чьи ПК пострадали из-за Petya. Для получения ключа нужно предоставить информацию с зараженного диска.


Что нужно делать?


Зараженный носитель нужно вставить в другой ПК и извлечь определенные данные из определенных секторов зараженного жесткого диска. Эти данные затем нужно прогнать через Base64 декодер и отправить на сайт для обработки.


Конечно, это не самый простой способ, и для многих пользователей он может быть вообще невыполнимым. Но выход есть. Другой пользователь, Fabian Wosar, создал специальный инструмент, который делает все самостоятельно. Для его работы нужно переставить зараженный диск в другой ПК с Windows OS. Как только это сделано, качаем Petya Sector Extractor и сохраняем на рабочий стол. Затем выполняем PetyaExtractor.exe. Этот софт сканирует все диски для поиска Petya. Как только обнаруживается зараженный диск, программа начинает второй этап работы.

Извлеченную информацию нужно загрузить на сайт, указанный выше. Там будет два текстовых поля, озаглавленных, как Base64 encoded 512 bytes verification data и Base64 encoded 8 bytes nonce. Для того, чтобы получить ключ, нужно ввести данные, извлеченные программой, в эти два поля.


Для этого в программе нажимаем кнопку Copy Sector, и вставляем скопированные в буфер данные в поле сайта Base64 encoded 512 bytes verification data.


Потом в программе выбираем кнопку Copy Nonce, и вставляем скопированные данные в Base64 encoded 8 bytes nonce на сайте.


Если все сделано правильно, должно появиться вот такое окно: Для получения пароля расшифровки нажимаем кнопку Submit. Пароль будет генерироваться около минуты.

Для получения пароля расшифровки нажимаем кнопку Submit. Пароль будет генерироваться около минуты.

Записываем пароль, и подключаем зараженный диск обратно. Как только появится окно вируса, вводим свой пароль.

Petya начинает дешифровку тома, и все начинает работать по завершению процесса.


Взято с geektimes

UPD

Информация устарела

Показать полностью 4 1
Криптовымогатели Petya Ransomware Помогаем себе сами Видео Длиннопост 2016
196
129
kliMaster
kliMaster
Информационная безопасность IT

Криптовымогатель-обманщик Ranscam просто удаляет файлы, ничего не шифрует.⁠⁠

9 лет назад

Криптовымогатели сейчас повсюду. Программы, шифрующие файлы пользователя, а затем требующие выкуп за расшифровку данных приносят большие деньги своим создателям. Среди такого рода программного обеспечения есть поистине гениальные программы. Во многих случаях разработчики таких зловредов выполняют обещание: если пользователь платит, он получает ключ для расшифровки файлов. Но так бывает далеко не всегда — иногда ключ после оплаты и не приходит.



Случается и так, что нет не только ключа, но и файлов. Ranscam — зловред, который только притворяется криптовымогателем. ПО делает вид, что файлы зашифровываются, хотя на самом деле все, что пользователь видит на экране — командная строка со списком удаляемых файлов. Как только файлы удаляются, программа показывает всплывающее окно с требованием заплатить деньги за получение ключа шифрования.

В появившемся информационном окне пользователь видит сообщение о том, что все файлы перенесены на скрытый раздел диска и зашифрованы; все важные программы заблокированы; компьютер не сможет работать нормально. Также указывается, что при проведении платежа в биткоинах все вернется на свои места — пользователь получит свои файлы обратно.


Чуть ниже в окне размещается поле, куда нужно вводить свои данные после совершения платежа. Зловред якобы должен «проверить» платежные данные жертвы. При этом говорится, что нажатие на кнопку без проведения платежа чревато полным удалением всех файлов. Все, что делает это ПО — выполняет HTTP GET запрос для получения PNG картинок, демонстрирующих пользователю процесс верификации. На самом деле программа ничего не проверяет.



Кроме того, оплата не поможет — все файлы удаляются криптовымогателем при заражении ПК. Автор же зловреда пытается обмануть жертву, чтобы та заплатила деньги. Само программное обеспечение довольно простое — над ним явно поработали не слишком опытные злоумышленники.



На компьютер пользователя вирус проникает в виде исполняемого .NET файла. Файл подписан цифровым сертификатом, выданным reca[.]net. Дата выдачи сертификата — 6 июля 2016 года.

Когда жертва открывает файл, ПО выполняет несколько действий. Сначала программа копирует себя в %APPDATA%\, а также прописывается в автозагрузке. Кроме того, она распаковывается в %TEMP%\.
Программа создает и запускает исполняемый файл, который находит ряд папок в системе жертвы, и делает вид, что «шифрует» эти файлы. На самом деле все безвозвратно удаляется. 

Зловред в этом случае полностью оправдывает свое название, поскольку выполняет еще ряд действий, убивающих систему пользователя:


Удаление всех файлов Windows, отвечающих за резервное копирование данных (System Restore);

Удаляет теневые копии;

Удаляет ряд ключей реестра, отвечающих за запуск системы в Safe Mode.


После всего этого система запрашивает JPEG файл для демонстрации сообщения о необходимости внесении оплаты за расшифровку файлов.

Как только все это выполнено, скрипт выключает компьютер. Все шаги, описанные выше, будут выполняться каждый раз при включении ПК. И каждый раз зловред удаляет все новые и новые файлы и показывает сообщение о необходимости заплатить

Вот список файлов, которые загружаются при работе Ranscam с сервера злоумышленника. Он даже не потрудился обфусцировать данные.


Специалисты по информационной безопасности, изучающие зловреда, отправили по указанному в сообщении вируса адресу e-mail. «Жертва» запросила помощи у создателя вируса, рассказав, что не смогла выполнить правильно транзакцию с Bitcoin. Почти сразу после запроса пришел ответ.

Последовала еще одна просьба помочь: «Я ничего не понимаю в этих штуках. Я не понимаю, что все это значит или сколько стоит, но я хочу заполучить свой компьютер обратно. У меня много фотографии моей семьи и я не могу и просмотреть. Есть ли какое-то место, куда я могу отправить мои данные, или, возможно, есть номер телефона, по которому можно позволить, чтобы вы мне помогли? Я не знаю, что я сделал, но компьютер моей дочери не показывает это гадкое сообщение, что я должен делать? Пожалуйста, помогите вернуть мои фото, они важны!».


Спустя пару часов после запроса злоумышленник прислал ответ, где дал подробную инструкцию по оплате. После этого автор вируса не стал продолжать общение. Тем не менее, он предоставил тот же адрес кошелька Bitcoin, который был указан в информационном окне, показываемом вирусом. Этот адрес 1G6tQeWrwp6TU1qunLjdNmLTPQu7PnsMYd. Эксперты, изучающие проблему, проверили транзакции по этому кошельку, и увидели, что общая сумма переведенных средств достигает уже $277.61. Правда, эти деньги поступали на кошелек раньше, до 20 июня. После этой даты нет ни одной транзакции.



Пока что этот зловред не слишком распространился. Ranscam может быть одним из первых зловредов, чьи создатели не хотят выполнять лишнюю работу, а хотят только денег. Зачем создавать сложный криптовымогатель, тратить время и средства на его создание, если можно замаскировать под него обычный вирус, который удаляет файлы и требует деньги? Вопрос риторический

Источник: https://geektimes.ru/post/278436/

Показать полностью 8
Ranscam Криптовымогатели Вирус Geektimes Длиннопост Баг или фича
35
Посты не найдены
О нас
О Пикабу Контакты Реклама Сообщить об ошибке Сообщить о нарушении законодательства Отзывы и предложения Новости Пикабу Мобильное приложение RSS
Информация
Помощь Кодекс Пикабу Команда Пикабу Конфиденциальность Правила соцсети О рекомендациях О компании
Наши проекты
Блоги Работа Промокоды Игры Курсы
Партнёры
Промокоды Биг Гик Промокоды Lamoda Промокоды Мвидео Промокоды Яндекс Маркет Промокоды Пятерочка Промокоды Aroma Butik Промокоды Яндекс Путешествия Промокоды Яндекс Еда Постила Футбол сегодня
На информационном ресурсе Pikabu.ru применяются рекомендательные технологии