Троян научился обходить антивирусы с помощью невинных картинок

Новый троянец-шифровальщик SyncCrypt использует графические файлы для заражения компьютеров; компоненты вредоноса в зашифрованном виде скрыты внутри PNG-файлов, что позволяет обходить подавляющее большинство антивирусов.

SyncCrypt распространяется вместе со спамом, в письмах с вложениями в формате WSF, которые выдаются за судебные предписания. Если пользователь открывает файл, встроенный в него JavaScript скачивает с нескольких разных адресов кажущиеся невинными графические файлы, из которых извлекается вредоносная начинка.

Без скрипта это не работает, так что, если просто попытаться открыть эти изображения по прямой ссылке, вредоносные компоненты остаются зашифрованными.

Компоненты троянца представляют собой три файла - sync.exe, readme.html и readme.png.
WSF-файл создает в Windows отложенную задачу Sync, которая, соответственно, запускает файл sync.exe. Тот начинает сканировать компьютер на предмет файлов с определённым расширением, и шифровать их по алгоритму AES со встроенным публичным ключом RSA-4096. Зашифрованные файлы получают расширение .kk.

Шифрованию подвергаются файлы более, чем 350 типов, используемые самыми популяирными программами, включая asp, bat, bmp, cdr, css, doc, docx, gif, html, eml, jpeg, jpg, jar, java, ods, odt, pdf, ppt, pptx, sql, sqlite, xls, xlsx, png, rar, tar, zip и др.

Злоумышленники требуют $430 в биткоинах за ключ для расшифровки файлов. Преступники отводят жертвам всего 48 часов на выплату, после чего ключ уничтожается, сообщает safe.cnews.ru.