Международная компания в сфере кибербезопасности Group-IB сообщила о том, что российские компании атакует вирус-вымогатель Troldesh (Shade, XTBL, Trojan.Encoder.858, da Vinci, No_more_ransome), который в этом месяце через фишинговые письма от лица крупных аваикомпаний, автодилеров и СМИ получили более 1,1 тыс. адресатов. Под видом заказа в таких сообщениях злоумышленники разместили запароленный архивный файл, запускающий блокировку доступа в файлам на компьютере.
Об атаке вируса сообщили в компании Group-IB, занимающейся предотвращением и расследованиями преступлений в киберпространстве и случаев мошенничества с применением высоких технологий.
Только в июне вирус Troldesh был выявлен в более чем 1,1 тысячи фишинговых писем. Вредоносное ПО известно также под названиями Shade, XTBL, Trojan.Encoder.858, Da Vinci и No_more_ransome. Действует программа по принципу вымогателя: сначала шифрует на заражённом устройстве файлы, а потом требует выкуп для восстановления доступа к ним.
По информации Group-IB, в последнее время поле деятельности вируса расширилось – теперь он ещё занимается майнингом криптовалюты. Кроме того, посредством Troldesh генерируется трафик на веб-сайты, чтобы увеличить уровень посещаемости и доходы от онлайн-рекламы.
Специалисты отметили, что вредоносная рассылка приходила от имени автодилеров KIA и «Рольф», авиакомпании «Полярные авиалинии», портала «Новосибирск-online» и сайта РБК. Письма от имени сотрудников компаний содержат прикрепленный запароленный архив. В нем якобы содержатся подробные сведения о «заказе». В Group-IB заметили, что все адреса отправителей поддельные. К реальным компаниям они отношения не имеют.
Впервые Troldesh попал в поле зрения специалистов Group-IB ещё в 2015 году. В марте 2019-го вирус массово рассылали от лица известных ретейлеров, финансовых и строительных организаций. Пользователи получили заражённые письма, отправителями которых значились «Ашан», «Магнит», «Славнефть» и ГК «ПИК».