Спеціалісти Департаменту кіберполіції з 11 грудня почали фіксувати факти розповсюдження шкідливого програмного забезпечення (ШПЗ), націлене на користувачів операційної системи MS Windows, переважно приватних нотаріусів України.
Повідомляється, що для надсилання ШПЗ правопорушники використовували поштові сервіси українських компаній www.ukr.net та www.i.ua. Повідомлення зі шкідливими додатками надходили начебто від імені державних установ, зокрема судів різних інстанцій.
Для зараження комп’ютерів користувачів зловмисники використовували декілька видів ШПЗ, які мають схожий функціонал. При цьому використовувались різні методи їх розповсюдження (наприклад, користувачі отримували архівні файли, які зовні виглядали як файли формату .pdf). Злочинці навіть підробили зміст цих файлів – зовні вони виглядали як відсканований документ, створений від імені державної установи. В деяких інших випадках розповсюдження вірусу відбувалось за допомогою документів формату .docx із вбудованим шкідливим «OLE» об’єктом. Після відкриття документу користувачем, відбувався запуск ШПЗ. Автоматично відбувалось додавання запису в реєстр операційної системи для його автозавантаження.
Під час поглибленого аналізу спеціалісти з кіберполіції встановили: кожен раз ШПЗ запускалось із теки системного диску за посиланням – :\ProgramData\Microtik\winserv.exe. Виявлене шкідливе програмне забезпечення переходило у прихований режим очікування з’єднання та в повній мірі надавало доступ до ресурсів комп’ютера жертви. Згідно результатів аналізу, вказане ШПЗ є модифікованою версією легального програмного забезпечення «RMS TektonIT».
Комісія Нотаріальної палати України з питань запобігання та протидії кіберзлочинності рекомендує нотаріусам:
– зайти на сайт https://ru.malwarebytes.com;
– натиснути «Безкоштовне завантаження», завантажити та встановити malwarebytes;
– запустити повну перевірку;
– все знайдене відправити до карантину.
Робити це потрібно періодично. Також важливо постійно використовувати антивірус, який автоматично оновлюється кожного дня, а якщо потрібно – придбати ліцензію.
«Такої кількості шкідливих листів ми ще не бачили, це спланований удар хакерів. Прохання тимчасово утриматися від використання електронної пошти на комп’ютерах – використовуйте для цього смартфон та видаляйте листи незрозумілого змісту. Також варто звернутися в кіберполіцію, щоб зафіксувати отримання небезпечного листа», – радить нотаріусам голова комісії НПУ з питань запобігання та протидії кіберзлочинності Наталія Козаєва.
Департамент кіберполіції задля уникнення зараження комп’ютерів радить:
– в жодному випадку не відкривати листи від сумнівних адресатів із сумнівним змістом;
– встановити ліцензійне програмне забезпечення операційної системи та використовувати антивірусні програми;
– систематично оновлювати операційну систему та програмні продукти;
– не надавати доступ стороннім особами до персонального комп’ютера.
Також у кіберполіції розповіли, як самостійно заборонити автоматичний запуск ШПЗ: запустити редактор реєстру (натиснути клавішу «Пуск» та внести для пошуку запис «regedit»), знайти гілку реєстру HKCU\Software\Microsoft\Windows\CurrentVersion\Run; власноруч видалити знайдений запис такого змісту – «Microtik»; на системному диску операційної системи видалититеку :\ProgramData\Microtik; перезавантажити комп’ютер.