Исследователи из Bleeping Computer представили результаты анализа криптоблокера RAA, построенного исключительно на JavaScript, сообщает Threatpost. Новое вымогательское ПО распространяется через вредоносные email-вложения, замаскированные под документ Word.
Поскольку JavaScript в стандартной реализации не обладает продвинутыми криптографическими функциями, авторы зловреда воспользовались возможностями CryptoJS, библиотеки с открытым исходным кодом, содержащей такие алгоритмы, как AES, DES и т.п.
В данном случае RAA шифрует файлы жертв 256-битным ключом AES. Вдобавок он устанавливает вариант похитителя паролей Pony, который внедрен в JS-файл в виде строки, закодированной по base64.
Как и многие его собратья, RAA шифрует изображения, документы Word и Excel, файлы Photoshop, архивы .zip и .rar, не трогая при этом файлы Program, Windows, AppData и Microsoft. В конец каждого зашифрованного файла добавляется расширение .locked.
Сообщение с требованием выкупа написано на русском языке: пользователю предлагается выслать указанный в нем ID на указанный почтовый адрес, расшифровать на пробу несколько файлов и, убедившись в работоспособности декриптора, перевести 0,39 биткойна (примерно $250) хозяевам RAA.
Компания Mail.Ru Group хорошо известна своей заботой о приватности пользователей, и поэтому принадлежащие ей соцсети «ВКонтакте» и «Одноклассники» не удаляют удаленные фотографии, а почта не удаляет контакты
