Как Vgod прихваща данните на потребителите на Windows

Изследователите на CYFIRMA откриха нова заплаха в киберпространството – рансъмуерът Vgod, който се разпространява активно в подземните хакерски форуми. Той е насочен към операционните системи Windows, където използва сложни методи за криптиране и добавя уникално разширение „.Vgod“ към криптираните файлове.

След като проникне в устройството, вирусът моментално криптира данните и след това оставя на работния плот на жертвата бележка, наречена „Decryption Instructions.txt“, с изискванията на нападателите. В същото време фонът на работния плот се променя, за да привлече вниманието на жертвата. В текста на известието се споменава не само фактът на заключване на файловете, но и кражбата на поверителна информация и последващата заплаха за нейното публикуване, което показва използването на тактика на двойно изнудване.

Анализът на поведението на Vgod показва неговите сложни механизми за избягване на откриването. Той използва DLL Sideloading, за да заобикаля механизмите за сигурност, да инжектира процеси и да манипулира системния регистър. Сред регистрираните тактики са прикриване, сканиране на средата за виртуални машини и пясъчници и зареждане на зловредния код преди фазата на зареждане на операционната система, което го прави особено устойчив на отстраняване.

Според наблюденията нападателите взаимодействат с жертвите чрез имейл, в който вероятно се дават допълнителни инструкции за прехвърляне на откупа.

За защита от подобни атаки експертите препоръчват да се прилагат принципите на нулевото доверие, да се използва многофакторна автентикация и редовно да се актуализират системите. Важно е също така да създавате редовно резервни копия на данните, което ще ви позволи бързо да възстановите информацията, без да се налага да преговаряте с програми за откуп.

Vgod ни напомня: киберпрестъпниците непрекъснато усъвършенстват своите инструменти, така че защитата също трябва да е в крак с тях. Без систематичен подход към сигурността всеки файл е потенциален заложник.