Ransomware vergroot de geloofwaardigheid door de browsers van de slachtoffers te lezen

De auteurs van ransomware met politie-thema zijn begonnen met het gebruiken van de browsegeschiedenissen van geïnfecteerde computers om hun zwendel geloofwaardiger te maken, volgens een onafhankelijke malware-onderzoeker.

Ransomware is een klasse kwaadwillende toepassingen die is ontworpen om geld van gebruikers af te persen door belangrijke systeemfunctionaliteit uit te schakelen of door hun persoonlijke bestanden te versleutelen. Een specifieke variant van dit type bedreiging geeft berichten weer die zich voordoen als meldingen van wetshandhavingsinstanties.

De taal van de berichten en de namen van de bureaus die erin worden gebruikt, veranderen afhankelijk van de locatie van de slachtoffers, maar in bijna alle gevallen zijn de slachtoffers verteld dat hun computers vergrendeld zijn omdat ze illegale inhoud hebben bezocht of gedownload. Om weer toegang te krijgen tot hun computers, worden gebruikers gevraagd om een ​​boete te betalen.

[Meer informatie: Hoe malware van uw Windows-pc te verwijderen]

Een nieuwe ransomwarevariant die deze truc gebruikt, is in het weekend gespot door een onafhankelijke malware-analist die online bekend staat als Kafeine. Deze versie, genaamd Kovter, onderscheidt zich doordat het informatie verzamelt die is verzameld uit de browsergeschiedenis van het slachtoffer om het zwendelbericht geloofwaardiger te maken, aldus Kafeine vrijdag in een blogpost.

Kovter toont een nepwaarschuwing naar verluidt van het Amerikaanse ministerie van Justitie, het Amerikaanse ministerie van Binnenlandse Veiligheid en de FBI, die beweren dat de computer van het slachtoffer werd gebruikt voor het downloaden en verspreiden van illegale inhoud. Het bericht bevat ook het IP-adres van de computer, de hostnaam en een website waarvan het illegale materiaal naar verluidt werd gedownload.

De malware controleert of een van de sites die al aanwezig zijn in de browsergeschiedenis van de computer aanwezig is in een externe lijst van pornosites waarvan de inhoud niet noodzakelijkerwijs illegaal is, en als er een overeenkomst is, wordt deze in het bericht weergegeven. Door deze techniek te gebruiken en een site te noemen die het slachtoffer daadwerkelijk heeft bezocht als de bron voor de vermeende illegale inhoud, proberen de auteurs van het ransomware de geloofwaardigheid van hun bericht te vergroten.

Als er geen overeenkomst wordt gevonden bij het controleren van de browsergeschiedenis op de externe lijst, zal de malware gewoon een willekeurige pornosite in het bericht gebruiken, zei Kafeine.

Nieuwe tactieken verhogen de dreiging

De auteurs van ransomware met politie-thema proberen constant hun succespercentage te verbeteren en dit is slechts de nieuwste in een lange reeks van trucs die ze hebben toegevoegd. Sommige varianten gebruiken de webcam van de computer, indien aanwezig, om een ​​foto van de gebruiker te maken en deze in het bericht op te nemen om de indruk te wekken dat de autoriteiten de gebruiker opnemen. Een andere variant geeft slachtoffers een deadline van 48 uur om de verzonnen boete te betalen voordat hun computeraandrijving opnieuw wordt geformatteerd en hun gegevens worden vernietigd. Het gemiddelde aantal dagelijkse infectiepogingen met ransomware met politie-thema is in de eerste maanden van het jaar verdubbeld 2013, volgens Sergey Golovanov, een malware-expert in het wereldwijde onderzoeks- en analyseteam van antivirusleverancier Kaspersky Lab. De verspreiding van deze dreiging was in februari en maart op een historisch hoogtepunt, zei hij maandag via e-mail.

Volgens Golovanov is het belangrijkste voor slachtoffers van ransomware niet om de cybercriminelen geld te betalen. "Wat u moet doen, is naar een andere computer gaan en zoeken naar een oplossing, die u altijd op internet kunt vinden", zei hij. "Alle antivirusbedrijven plaatsen gratis instructies en hulpprogramma's om gebruikers te helpen hun computers te deblokkeren."

"In het ergste geval kunt u, als u geconfronteerd wordt met een unieke blocker, altijd de gespecialiseerde forums van antivirusbedrijven aanspreken of contact opnemen met tech ondersteuning voor deskundig advies en oplossingen, "zei hij. "Natuurlijk kan dit enige tijd duren, maar het belangrijkste is om niet te betalen en deze afpersing te financieren."