Ransomware Ordinypt atakuje w Niemczech
Ransomware Ordinypt (znany również pod bardziej techniczną nazwą "HSDFSDCrypt") zaatakował internautów na terenie Niemiec. Czym charakteryzuje się nowe zagrożenie i czy istnieje obawa, że wirus zaatakuje także mieszkańców innych krajów?
Analityk G DATA Karsten Hahn jako pierwszy przyjrzał się bliżej ransomware: "Najbardziej wyróżniającą cechą Ordinypt jest fakt, iż został napisany w nietypowym dla ransomware języku programowania (Delphi). Dane są szyfrowane tak, jak w przypadku każdego ransomware, a nazwy plików pozornie generowane losowo. W zaszyfrowanych plikach dane są jednak powtórnie zakodowane (za pomocą base64). Dlaczego tak się dzieje i do czego dążą twórcy? To wciąż pozostaje tajemnicą" — mówi ekspert z G DATA.
Szczególną uwagę należy zwrócić na komunikat okupu - napisany bez błędów językowych. To pozwala założyć, że autorzy ataku pochodzą z Niemiec. Uderzające jest również to, że wiadomość ukrywa fragment kodu programu, który za każdym razem generuje nowy adres bitcoin, na który ma zostać wysłana płatność.
Do tej pory nie zauważono tego rodzaju zachowania w żadnym innym oprogramowaniu ransomware. Celem takiego podejścia może być utrudnienie zlokalizowania przepływów płatności przez organy ścigania. Na podstawie treści jednej z wiadomości zawierającej złośliwy kod stwierdzono, że celem ransomware, podobnie jak w przypadku szkodnika Petya, mogli być pracownicy działów odpowiedzialnych za kadry. Podobnie jak wiele innych złośliwych programów, Ordinypt podszywa się pod plik PDF i rozpowszechnia się za pośrednictwem załącznika e-mail.
