SNS-amigo
SNS System Watch Freelance reporter
- Сообщения
- 4,897
- Реакции
- 6,523
Шифровальщик-вымогатель Troldesh: Технология распространения
Вредонос Troldesh, детектируемый Microsoft как Win32/Troldesh, известен у специалистов с начала 2015 года, а широкое распространение он получил лишь в июне этого года. Использует расширение первой версии Shade (.xtbl). Варианты названия (алиасы): XBTL.
По мнению экспертов причина всплеска популярности Troldesh среди хакеров может быть связана с ростом использования наборов эксплоитов Axpergle и Neclu, также известного как Nuclear. Их называют самыми известными распространителями вред ПО Troldesh.
Они проверяют целевое устройство на наличие уязвимостей, а затем эксплуатируют бреши для инфицирования системы вредоносом Troldesh. Последний, в свою очередь, создает в системе файлы %APPDATA%\windows\csrss.exe (копия вредоноса) и %TEMP%\state.tmp (временный файл для шифрования). Troldesh зашифровывает пользовательских файлы, переименовывает их расширение на .xbtl или .cbtl, изменяет записи в реестре системы для самозапуска при включении компьютера.
Пострадавшая сторона получает уведомление с требованием отправить специальный код из файла Key.txt (или сам файл) на email злоумышленника для получения инструкции и предупреждение о том, что все попытки расшифровать файлы приведут к безвозвратной потере данных. Обои рабочего стола изменяются на изображение с сообщением на русском и английском языках о том, что файлы были зашифрованы.
По статистике исследователей злонамеренная деятельность Troldesh чаще всего зафиксирована в России, Украине, а также в гораздо меньшей степени в Бразилии, Турции.
Перечислять злоумышленникам деньги не рекомендуется, т.к. нет никаких гарантий того, что вымогатели в обмен на деньги действительно что-то расшифруют, а не скроются в неизвестном направлении.
Вредонос Troldesh, детектируемый Microsoft как Win32/Troldesh, известен у специалистов с начала 2015 года, а широкое распространение он получил лишь в июне этого года. Использует расширение первой версии Shade (.xtbl). Варианты названия (алиасы): XBTL.
![trol_001.webp trol_001.webp](https://www.safezone.cc/data/attachments/23/23482-577d53fc104f76a7ffa0064bce5c2717.jpg?hash=7KHoKMbuBX)
По мнению экспертов причина всплеска популярности Troldesh среди хакеров может быть связана с ростом использования наборов эксплоитов Axpergle и Neclu, также известного как Nuclear. Их называют самыми известными распространителями вред ПО Troldesh.
Они проверяют целевое устройство на наличие уязвимостей, а затем эксплуатируют бреши для инфицирования системы вредоносом Troldesh. Последний, в свою очередь, создает в системе файлы %APPDATA%\windows\csrss.exe (копия вредоноса) и %TEMP%\state.tmp (временный файл для шифрования). Troldesh зашифровывает пользовательских файлы, переименовывает их расширение на .xbtl или .cbtl, изменяет записи в реестре системы для самозапуска при включении компьютера.
![trol_003.webp trol_003.webp](https://www.safezone.cc/data/attachments/23/23484-e98d69a854aa21903105d443ac375462.jpg?hash=7Zhe-wiW7L)
![trol_005.webp trol_005.webp](https://www.safezone.cc/data/attachments/23/23485-1338adefe05e4ea0095508a887719d66.jpg?hash=xDov4Y8uKG)
Пострадавшая сторона получает уведомление с требованием отправить специальный код из файла Key.txt (или сам файл) на email злоумышленника для получения инструкции и предупреждение о том, что все попытки расшифровать файлы приведут к безвозвратной потере данных. Обои рабочего стола изменяются на изображение с сообщением на русском и английском языках о том, что файлы были зашифрованы.
![trol_005-2.webp trol_005-2.webp](https://www.safezone.cc/data/attachments/23/23486-760aa611b1e177a1ed029b3b16feaa85.jpg?hash=gZT2bDodqJ)
![trol_004.webp trol_004.webp](https://www.safezone.cc/data/attachments/23/23487-85ba0a1a0aaf7885070db5c10849b111.jpg?hash=eR9kAdCHyB)
По статистике исследователей злонамеренная деятельность Troldesh чаще всего зафиксирована в России, Украине, а также в гораздо меньшей степени в Бразилии, Турции.
Перечислять злоумышленникам деньги не рекомендуется, т.к. нет никаких гарантий того, что вымогатели в обмен на деньги действительно что-то расшифруют, а не скроются в неизвестном направлении.
Emerging ransomware: Troldesh - Microsoft Malware Protection Center - Site Home - TechNet Blogs
Ransom:Win32/Troldesh.A
“Troldesh” – New Ransomware from Russia | Check Point Blog
Вредонос Troldesh инфицирует целевую систему и зашифровывает пользовательские файлы
Microsoft Malware Protection Center - Ransomware
Ransom:Win32/Troldesh.A
“Troldesh” – New Ransomware from Russia | Check Point Blog
Вредонос Troldesh инфицирует целевую систему и зашифровывает пользовательские файлы
Microsoft Malware Protection Center - Ransomware