Škodlivý kód zneužívajúci Finančnú správu žiada výkupné 900 eur, peniaze pýta „vlastnou hlavou“

E-mail navedie obeť k stiahnutiu spustiteľného súboru s názvom „Elektronická komunikácia“ z falošného webu www.financnasprava.digital, ktorý taktiež nie je spravovaný Finančnou správou. Po úspešnom spustení sa obeti zašifruje väčšina obsahu infikovaného zariadenia, za odšifrovanie žiada útočník približne 900 eur. Ide teda o typ škodlivého kódu, ktorému sa hovorí ransomware. Z viacerých faktov vyplýva, že autor tohto podvodu sa vyzná v slovenských reáliách.

„Autor chcel zjavne zneužiť obdobie, v ktorom firmy i bežní ľudia začínajú podávať daňové priznania. Cez oficiálny web Finančnej správy totiž môžu podávať daňové priznanie, výkazy o DPH alebo kontrolné výkazy,“ vysvetľuje Robert Lipovský, bezpečnostný výskumník spoločnosti ESET načasovanie tohto útoku.

zdroj fotografie:eset.com

Škodlivý kód sa skladá z dvoch súborov. Jeho prvá časť začne postupne šifrovať všetky disky pripojené k infikovanému počítaču, čiže aj disky externé. Vyhýba sa však videám. „Je to zrejme kvôli tomu, že pri videách zvykne ísť o veľké súbory a ich šifrovanie by si vyžadovalo viac času,“ domnieva sa Lipovský. Systémový disk šifruje tak, aby nenarušil funkciu operačného systému.

Druhá časť škodlivého kódu sa objaví po úspešnom ukončení šifrovania. Obeti v češtine oznamuje, že obsah jej zariadenia je zašifrovaný a dostane sa k nemu po zaplatení výpalného v digitálnej mene 0,8 Bitcoina, čo je aktuálne okolo 900 eur. „Dodatok „I nám jde o profesionální klientský servis a reputaci na trhu, proto se budeme snažit odemknout Vaše soubory co nejdříve“ vyznieva provokatívne avšak len ukazuje, že z výroby a distribúcie škodlivého kódu sa stal ťažký biznis,“ vysvetľuje Lipovský.

zdroj fotografie:eset.com

Zaujímavosťou je, že ako kontaktnú e-mailový adresu si útočník vybral vlastnou.hlavou@mailfence.com, čo je zrejme narážka na „hlas podobný Robertovi Ficovi“, ktorý na uniknutej nahrávke medializovanej v roku 2010 vysvetľuje, ako strane zabezpečil peniaze „vlastnou hlavou“. Škodlivá stránka dnes predpoludním nefungovala, aktuálne obsahuje obrázok, v ktorom autor spomína, že „Za riadne odvedenie dane vám ďakujú: vlastnou hlavou, Kaliho nos, klinika Kostka, teta Anka, dlh VšZP, Váhostav, Vila Bonaparte, Slovenské predsedníctvo a iné. Prispejte aj tento rok, aby bolo z čoho kradnúť.“

zdroj fotografie:eset.com

Paradoxné však je, že práve útočník sa snažil okradnúť svoje obete,“ dodáva Lipovský. Okrem mena Finančnej správy zneužíva tento škodlivý kód aj meno spoločnosti ESET, falošný web totiž obsahoval logo služby ESET Virus Radar. Táto služba však neposkytuje overenie obsahu webovej stránky a takéto overenie ESET ani neponúka.

ESET tento škodlivý kód deteguje pod menom MSIL/Filecoder.OwnHead.A. Spustí sa len na operačnom systéme, ktorý používa .NET framework minimálne vo verzii 4.0. V súčasnosti však ide už o rozšírený komponent operačného systému Windows. Zašifrovaným súborom pridáva koncovku .ENCR.

 zdroj:eset.com