Исчезнувший на некоторое время вымогатель Matrix снова был замечен в одной из недавних кампаний EITest. Исследователь Palo Alto Брэд Данкан (Brand Duncan) столкнулся со случаем распространения зловреда через эксплойт-пак RIG, хотя раньше Matrix не мог сравниться по темпам и масштабам распространения с такими вымогателями, как Cerber и Spora. Это привлекло внимание эксперта, который пристальнее изучил образец и обнаружил в нем способность к самораспространению.

Новый Matrix умеет заражать другие компьютеры, пробираясь с машины на машину при помощи вредоносных ярлыков, а также загружать на сервер атаки информацию о типах зашифрованных им файлов.

Зловред распространяется через скомпрометированные сайты, зараженные скриптом EITest. Как только на компьютер загружается iframe RIG, эксплойт-пак пытается провести эксплуатацию уязвимых программ и установить Matrix.

Чтобы распространиться на другие компьютеры сети, Matrix во время шифрования файлов скрывает папку и создает ярлык с тем же именем, а затем копирует исполняемый файл вымогателя и сохраняет его как desktop.ini в изначальной, уже скрытой папке.

Например, зловред может скрыть папку «Документы» и создать соответствующий ярлык. Пользователь открывает его и сохраняет в нем какие-либо файлы, ничего не подозревая, так как все будто бы работает как обычно. Тем временем Matrix копирует файл desktop.ini, который на самом деле является исполняемым файлом вымогателя, в %Temp%\OSw4Ptym.exe, а затем исполняет его. Таким образом зловред может проникать в другие компьютеры через сетевые и съемные накопители.

Также исследователи отмечают, что Matrix регулярно обновляется и каждая новая версия имеет отличия в характеристиках, будь то расширения шифруемых файлов, контактные email-адреса или тексты записок с требованием выкупа. Эксперты предполагают, что Matrix будет меняться и дальше.

Matrix очень часто обращается к командному серверу, сообщая о ходе процесса шифрования. Зловред загружает статистику по типам шифруемых файлов на сервер, как это делает Spora, и имеет различные требования относительно размеров выкупа в соответствии с типами зашифрованных файлов.

Кроме того, Matrix удаляет Shadow Volume Copies, чтобы исключить возможность отката изменений и восстановления состояния системы до заражения.

В тексте сообщения, которое демонстрируется на экране по окончании шифрования, злоумышленники угрожают, что каждые 12 часов из отпущенного на оплату срока размер выкупа будет увеличиваться на $100. Жертве дают 96 часов, после чего угрожают удалить файлы навсегда.

Категории: Аналитика, Вредоносные программы