Нова версия на CTB-Locker криптира данни на уеб сървъри

Нова злонамерена програма, която криптира файлове на уеб сървъри е засегнала най-малко 100 сайта през последните няколко седмици, което е сигнал за нова тенденция при рансъмуер (Ransomware) разработчиците.

Програмата е написана на езика PHP и носи името CTB-Locker. Също така, името се използва и от една от най-разпространените рансъмуер програми за компютри с Windows. Не е ясно обаче дали има връзка между този нов уеб-базирани рансъмуер и версията на Windows.

Веднъж попаднала на сървъра, програмата замества index.php файла на сайта и създава директория с име Crypt, която съдържа допълнителни PHP файлове. CTB-Locker започва да криптира всички файлове в уеб директорията на сървъра, след като получи специална заявка от злоумишленика. След като процеса по криптирането завърши, на началната страница на сайта се появява съобщение с предложение за плащане на откуп в биткойни.

За една от първите атаки с тази уеб-базирана версия на CTB-Locker бе съобщено на 12 февруари, когато жертва стана сайта на Британската асоциация за консултиране и психотерапия, пише PC world.

Специалистите по компютърна сигурност от Stormshield са успели да се сдобият с пълния код на зловредното приложение, от друг засегнат сайт. До сега те са открили 102 Интернет страници, които са били заразени с този уеб базиран рансъмуер.

За сега не е ясно как злоумишлениците са успели да получат достъп до тези сайтовете и да инсталират на тях CTB-Locker. Някои от засегнатите сайтове не използват CMS (като напр. WordPress), така че проблемът не може да бъде приписан на някаква уязвимост в тях.

CTB-Locker не е първият рансъмуер атакуващ уеб сайтове. През ноември беше засечена подобна програма, наречена Linux.Encoder.1. Намерени нейни недостатъци, позволиха тогава на специалистите да създадат инструменти за декриптиране.