На форуме издания Bleeping Computer появились сообщения о новом вымогателе, получившем название Cr1ptT0r. Он атакует сетевые системы хранения данных в линейке D-Link NAS DNS-320 и требует выкуп в биткойнах за расшифровку файлов. К заблокированным документам добавляется не новое расширение, но маркер _Cr1ptT0r_.
Сразу несколько пользователей сообщили о деятельности вымогателя на сетевых накопителях одной модели. Записка о выкупе ориентирована на англоязычных пользователей, однако уже известны случаи заражения по всему миру.
Так как все пострадавшие пользовались D‑Link NAS DNS-320, специалисты склоняются к выводу, что во всех устройствах этого семейства содержится уязвимость. Вероятнее всего, она существует в настройках по умолчанию, чем и воспользовались мошенники. Однако на текущий момент пока не установлено, какую именно брешь эксплуатировали злоумышленники.
После шифрования вредоносная программа создает файл с требованием выкупа под названием _FILES_ENCRYPTED_README.txt. В нем содержится ссылка на страницу вымогателей в сервисе OpenBazaar. В случае его недоступности преступники предлагают связаться с ними в децентрализованном мессенджере Tox.
Cr1ptT0r — не первый вымогатель, ориентированный на NAS-устройства (Network Attached Storage). В декабре 2017 года исследователи зафиксировали вспышку заражений шифровальщиком StorageCrypter. Для проникновения на компьютер он использовал уязвимость в Linux-версии пакета Samba. Специалисты полагают, что Cr1ptT0r может быть модифицированной версией этого зловреда.
Исследователи пока не разработали метод восстановления пораженных Cr1ptT0r файлов. В качестве защитной меры эксперты рекомендуют поддерживать в актуальном состоянии антивирусные решения и регулярно проводить резервное копирование.
Источник: https://threatpost.ru/cr1pt0r-ransomware-targets-d-link-nas-devices/31280/