Почтовые спам-рассылки заражены CryptXXX

Североамериканская ИБ-компания Proofpoint сообщила об обнаруженных ею фактах рассылки спама по электронной почте, распространяющего вредоносное ПО CryptXXX. CryptXXX известен как программа-вымогатель — будучи запущенным на компьютере жертвы он шифрует все документы на доступных дисках, а за обратный процесс дешифрации пользовательских данных требует перевести мзду своим создателям. Кибермошенники рассылали электронную почту с безобидными с виду вложениями .doc, вредоносные макросы в которых производили загрузку и запуск вымогателя CryptXXX. Примечательно, что ранее он распространялся создателями лишь через эксплойты Neutrino и Angler, а на почтовую рассылку как средство доставки мошенники обратили внимание впервые.

Несмотря на дебют в выборе канала распространения зловредного кода метод, которым доверчивых пользователей побуждают к его запуску, вполне традиционный - социальная инженерия. В теме почтовых сообщений фигурировало: “Брешь в защите — отчёт о безопасности», а тело писем начиналось с текста (дословно): “== ВАЖНАЯ ИНФОРМАЦИЯ ==”.

Судя по тому, что эксперты из Proofpoint зафиксировали лишь несколько тысяч подобных сообщений, говорить о больших масштабах распространения вируса-шифровальщика пока не приходится. Вполне возможно, что это лишь «проба пера» злоумышленников от ИТ в новом амплуа и по её результатам они предпримут рассылки в гораздо бОльших количествах.

В любом случае пользователям электронной почты нужно сохранять бдительность и если приём таких вложений не блокируется непосредственно на почтовом хостинге (как по-хорошему и должно быть), то незамедлительно удалять спам с ними вручную, не пытаясь их запускать.

Особенно внимательно нужно относиться к файлам с расширениями:

• .vbs
• .js
• .lnk

и подобным файлам, которые могут содержать исполняемый вредоносный код.

Proofpoint – ИТ-компания, специализирующаяся на решениях в области информационной безопасности, с офисами в США и Канаде. Штаб-квартира компании расположена в Калифорнии.