Troldesh in einer neuen Maske: die nächste Welle der Massenverteilung des Ransomware-Virus

Von heute bis heute haben JSOC CERT-Experten eine massive böswillige Verbreitung des Troldesh-Ransomware-Virus registriert. Die Funktionalität ist breiter als die eines Verschlüsselers: Zusätzlich zum Verschlüsselungsmodul kann eine Workstation ferngesteuert und zusätzliche Module neu geladen werden. Bereits im März dieses Jahres haben wir über die Troldesh-Epidemie informiert - dann hat der Virus seine Verbreitung mit IoT-Geräten maskiert. Hierfür werden jetzt anfällige Versionen von WordPress und der cgi-bin-Oberfläche verwendet.



Der Newsletter wird von verschiedenen Adressen aus durchgeführt und enthält im Hauptteil des Briefes einen Link zu kompromittierten Webressourcen mit WordPress-Komponenten. Der Link enthält ein Archiv, das ein Skript in der Sprache Javascript enthält. Aufgrund ihrer Ausführung wird die Troldesh-Ransomware heruntergeladen und gestartet.

Schädliche Nachrichten werden von den meisten Schutztools nicht erkannt, da sie einen Link zu einer legitimen Webressource enthalten. Der Verschlüsseler selbst wird derzeit jedoch von den meisten Herstellern von Antivirensoftware erkannt. Hinweis: Da die Malware mit C & C-Servern im Tor-Netzwerk kommuniziert, ist es möglicherweise möglich, zusätzliche externe Lademodule auf den infizierten Computer herunterzuladen, die sie „anreichern“ können.

Zu den häufigsten Anzeichen dieses Newsletters gehören:

(1) Ein Beispiel für ein Newsletter-Thema - "Über Bestellung"

(2) Alle Links haben eine externe Ähnlichkeit - sie enthalten die Schlüsselwörter / wp-content / und / doc /, zum Beispiel:
Horsesmouth [.] Org / wp-content / themen / InspiredBits / images / dummy / doc / doc /
www.montessori-akademie [.] org / wp-inhalt / themen / campus / mythologie-kern / kern-ansätze / bilder / soziale-ikonen / long-shadow / doc /
cathnutplacejp [.] com / wp-content / ai1wm-backups / doc /

(3) Malware-Zugriffe über verschiedene Verwaltungsserver von Tor c

(4) Die Datei Dateiname wird erstellt: C: \ ProgramData \ Windows \ csrss.exe, sie ist in der Registrierung im Zweig SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ Run registriert (der Parametername lautet Client Server Runtime Subsystem).

Wir empfehlen Ihnen, die Relevanz der Antivirensoftware-Datenbanken zu überprüfen, Mitarbeiter über diese Bedrohung zu informieren und die Kontrolle über eingehende E-Mails mit den oben genannten Zeichen nach Möglichkeit zu verschärfen.