Один швейцарский ИБ-эксперт и по совместительству администратор техноблога abuse.ch, сообщил о выявлении нового зловреда – вымогателя PadCrypt, «фишкой» которого является встроенный чат, позволяющий вымогателям напрямую связаться с жертвой для обсуждения условий выкупа дешифровального кода. При этом кроме версии чата, подключаемой к управляющему серверу авторы PadCrypt почему-то оснастили его абсолютно ненужным деинсталлятором.
И, хотя, как заметил эксперт, ранее уже попадались образчики зловредов, позволяющие запускать или отключать автозапуск, однако с трояном, имеющим деинсталлятор, столкнуться пришлось впервые. При этом хотя сам деинсталлятор может удалять уведомления о выкупе, однако файлы на инфицированной системе все также остаются закодированными.
Распространяется PadCrypt через спам-рассылки со зловредным zip-вложением, замаскированным под документ PDF. После запуска троянец шифрует содержащиеся на дисках файлы с расширениями doc, pdf, gif, jpg, и проч. Для шифрования PadCrypt использует технологию симметричного шифрования AES. После шифрования вымогатель удаляет теневые копии зашифрованных файлов с сохранением в отдельном документе всех их наименований.
В конце эксперт сообщил, что сейчас C&C-серверы PadCrypt отключены и вредонос пока не представляет угрозы.
