Российские пользователи массово получают письма, заражённые вирусом-вымогателем Troldesh. Корреспонденция якобы приходит с адресов известных авиакомпаний, автомобильных дилеров и СМИ. Известно, что пострадали многие российские предприятия.
Об атаке вируса сообщили в компании Group-IB, занимающейся предотвращением и расследованиями преступлений в киберпространстве и случаев мошенничества с применением высоких технологий.
Только в июне вирус Troldesh был выявлен в более чем 1,1 тысячи фишинговых писем. Вредоносное ПО известно также под названиями Shade, XTBL, Trojan.Encoder.858, Da Vinci и No_more_ransome. Действует программа по принципу вымогателя: сначала шифрует на заражённом устройстве файлы, а потом требует выкуп для восстановления доступа к ним.
По информации Group-IB, в последнее время поле деятельности вируса расширилось – теперь он ещё занимается майнингом криптовалюты. Кроме того, посредством Troldesh генерируется трафик на веб-сайты, чтобы увеличить уровень посещаемости и доходы от онлайн-рекламы.
Специалисты отметили, что вредоносная рассылка приходила от имени автодилеров KIA и «Рольф», авиакомпании «Полярные авиалинии», портала «Новосибирск-online» и сайта РБК. Письма от имени сотрудников компаний содержат прикрепленный запароленный архив. В нем якобы содержатся подробные сведения о «заказе». В Group-IB заметили, что все адреса отправителей поддельные. К реальным компаниям они отношения не имеют.
Впервые Troldesh попал в поле зрения специалистов Group-IB ещё в 2015 году. В марте 2019-го вирус массово рассылали от лица известных ретейлеров, финансовых и строительных организаций. Пользователи получили заражённые письма, отправителями которых значились «Ашан», «Магнит», «Славнефть» и ГК «ПИК».
