Ransomware øker troverdigheten ved å lese ofre for nettlesere

Forfatterne av politiet-tema ransomware har begynt å bruke nettlesingshistoriene fra infiserte datamaskiner for å gjøre deres svindel mer troverdige, ifølge en uavhengig malwareforsker.

Ransomware er en klasse av ondsinnede applikasjoner designet for å presse penger fra brukere ved å deaktivere viktig systemfunksjonalitet eller ved å kryptere deres personlige filer. En bestemt variant av denne typen trussel viser meldinger som maskerer som varsler fra lovhåndhevelsesbyråer.

Språket i meldingene og byrånavnene som brukes i dem, endres avhengig av ofrenes beliggenhet, men i nesten alle tilfeller er ofrene fortalt at datamaskinene deres er låst fordi de har tilgang til eller lastet ned ulovlig innhold. For å få tilgang til datamaskinene sine, blir brukerne bedt om å betale en bot.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

En ny ransomware-variant som benytter dette trikset ble oppdaget i helgen av en uavhengig malwareanalytiker kjent online som Kafeine. Kovter er utgitt fordi den bruker informasjon samlet fra offerets nettleserhistorie for å gjøre svindelmeldingen mer troverdig, sa Kafeine fredag ​​i et blogginnlegg.

Kovter viser en falsk advarsel angivelig fra US Department of Justice, US Department of Homeland Security, og FBI, som hevder at offerets datamaskin ble brukt til å laste ned og distribuere ulovlig innhold. Meldingen viser også datamaskinens IP-adresse, vertsnavn og et nettsted der det ulovlige materialet angivelig ble lastet ned.

Malware kontrollerer om noen av nettstedene som allerede finnes i datamaskinens nettleserhistorikk, finnes i en ekstern liste over porno nettsteder hvis innhold ikke nødvendigvis er ulovlig, og hvis det er en kamp, ​​viser den det i meldingen. Ved å bruke denne teknikken og navngi et nettsted som offeret faktisk har besøkt som kilden til det påståtte ulovlige innholdet, forsøker ransomware-forfattere å øke troverdigheten til deres melding.

Hvis det ikke blir funnet noen kamp når du sjekker nettleserens historie mot fjernliste, vil malware bare bruke et tilfeldig porno-nettsted i meldingen, sa Kafeine.

Ny taktikk øker trusselen

Forfatterne av politiet-tema ransomware prøver stadig å forbedre suksessraten, og dette er bare sist i en lang serie triks de har lagt til. Noen varianter bruker faktisk datamaskinens webkamera, hvis en er til stede, for å ta et bilde av brukeren og inkludere det i meldingen for å gi inntrykk av at myndighetene registrerer brukeren. En annen variant gir ofrene en tidsfrist på 48 timer for å betale den ferdige bøden før datatrykket deres er omformet og deres data blir ødelagt.

Gjennomsnittlig antall daglige infeksjonsforsøk med politimessig ransomware har doblet seg i løpet av de første månedene av 2013, ifølge Sergey Golovanov, en malware ekspert i det globale forsknings- og analyseteamet hos antivirusleverandøren Kaspersky Lab. Fordelingen av denne trusselen var høyt i løpet av februar og mars, sa han mandag via e-post.

Ifølge Golovanov er det viktigste for ransomware ofre ikke å betale cyberkriminelle noen penger. "Det du trenger å gjøre er å gå til en annen datamaskin og begynne å søke etter en løsning, som du alltid kan finne på Internett," sa han. "Alle antivirusvirksomheter sender gratis instruksjoner og verktøy for å hjelpe brukerne å blokkere sine datamaskiner."

"I verste fall, hvis du står overfor en unik blokkering, kan du alltid adressere spesialiserte forum for antivirusvirksomheter eller kontakte tech støtte for sakkyndig råd og løsninger, "sa han. "Det kan selvfølgelig ta litt tid, men det viktigste er ikke å betale opp og finansiere denne utpressingen."