Petya-Mischa ransomware กลับมาพร้อมกับเวอร์ชั่นที่ปรับปรุงใหม่แล้ว มันขึ้นอยู่กับผลิตภัณฑ์ก่อนหน้า แต่เพียงผู้เดียว แต่ใช้ชื่อใหม่ - Golden Eye

เช่นเดียวกับแรนซัมแวร์ทั่วไป Golden Eye รุ่นใหม่ได้ถูกปล่อยออกมาเพื่อขโมยคอมพิวเตอร์ของเหยื่อผู้บริสุทธิ์และเรียกร้องให้พวกเขาจ่ายเงิน เทคนิคที่เป็นอันตรายของมันพบว่าเกือบจะเหมือนกับ Petya-Mischa รุ่นก่อนหน้า

ผู้ใช้ส่วนใหญ่ระมัดระวังและมั่นใจว่าพวกเขาแทบจะไม่ตกหลุมพรางที่ผู้โจมตีมัลแวร์กำหนดไว้ แต่มันเป็นเพียงเรื่องของเวลาจนกว่าเราจะชนกระแทกเล็กน้อยที่อาจนำไปสู่การละเมิดความปลอดภัย จากนั้นสัญญาณที่น่าสงสัยขนาดเล็กทั้งหมดจะปรากฏชัดเจน แต่จนกระทั่งถึงความเสียหายที่ได้ทำไปแล้ว

ดังนั้นวิทยาศาสตร์ของการได้รับความไว้วางใจจากผู้ใช้โดยการหลอกลวงและการไตร่ตรองไว้ล่วงหน้าเรียกว่าวิศวกรรมสังคม มันเป็นวิธีการที่อาชญากรไซเบอร์ใช้มานานหลายปีในการแพร่กระจาย ransomware และเป็นสิ่งเดียวกับที่ ransomware Golden Eye ได้ติดตั้ง

Golden Eye ทำงานอย่างไร

มีรายงานว่าได้รับมัลแวร์ซึ่งปลอมตัวเป็นแอปพลิเคชันงาน มันอยู่ในโฟลเดอร์สแปมของบัญชีอีเมลของผู้ใช้

อีเมลนี้มีชื่อว่า 'Bewerbung' ซึ่งหมายถึง 'ใบสมัคร' มันมาพร้อมกับสองสิ่งที่แนบซึ่งมีสิ่งที่แนบที่อ้างว่าเป็นไฟล์สำคัญต่อข้อความ ไฟล์ PDF - ซึ่งดูเหมือนว่าจะเป็นเรซูเม่ที่แท้จริง และ XLS (สเปรดชีต Excel) - นี่คือที่ตัวดำเนินการของ ransomware เริ่มทำงาน

ในหน้าสองของจดหมายมีรูปถ่ายของผู้สมัครที่ถูกกล่าวหา มันลงท้ายด้วยคำแนะนำที่สุภาพเกี่ยวกับไฟล์ excel โดยระบุว่ามีเนื้อหาที่สำคัญเกี่ยวกับการสมัครงาน ไม่มีความต้องการที่ชัดเจนเพียงแค่ข้อเสนอแนะในวิธีที่เป็นธรรมชาติที่สุดเท่าที่จะเป็นไปได้

หากเหยื่อตกเป็นเหยื่อของการหลอกลวงและกดปุ่ม "เปิดใช้งานเนื้อหา" ในไฟล์ excel จะมีการเรียกมาโคร หลังจากเรียกใช้งานได้สำเร็จจะบันทึกสตริง base64 ที่ฝังอยู่ในไฟล์เรียกทำงานในโฟลเดอร์ temp เมื่อไฟล์ถูกสร้างขึ้นสคริปต์ VBA จะทำงานและจะทำให้เกิดกระบวนการเข้ารหัส

ความแตกต่างกับ Petya Mischa:

กระบวนการเข้ารหัสของ Golden Eye นั้นแตกต่างจาก Petya-Misha เพียงเล็กน้อย Golden Eye เข้ารหัสไฟล์ของคอมพิวเตอร์ก่อนจากนั้นลองติดตั้ง MBR (Master Boot Record) จากนั้นผนวกส่วนขยาย 8 อักขระแบบสุ่มในแต่ละไฟล์ที่เป็นเป้าหมาย หลังจากนั้นจะปรับเปลี่ยนกระบวนการบูตของระบบทำให้คอมพิวเตอร์ไร้ประโยชน์โดย จำกัด การเข้าถึงของผู้ใช้

จากนั้นจะแสดงข้อความเรียกค่าไถ่ที่คุกคามและรีบูตระบบ หน้าจอ CHKDSK ปลอมปรากฏขึ้นซึ่งทำหน้าที่เหมือนกำลังซ่อมแซมปัญหาบางอย่างกับฮาร์ดไดรฟ์ของคุณ

จากนั้นกะโหลกและกระดูกไขว้จะกระพริบบนหน้าจอซึ่งสร้างขึ้นด้วยศิลปะ ASCII อันน่าทึ่ง เพื่อให้แน่ใจว่าคุณไม่พลาดมันขอให้คุณกดปุ่ม จากนั้นคุณจะได้รับคำแนะนำที่ชัดเจนเกี่ยวกับวิธีการชำระเงินตามจำนวนที่ต้องการ

ในการกู้คืนไฟล์คุณจะต้องป้อนรหัสส่วนตัวของคุณไปยังพอร์ทัลที่ให้ไว้ ในการเข้าถึงคุณจะต้องจ่าย 1.33284506 bitcoins เท่ากับ $ 1, 019

สิ่งที่โชคร้ายคือยังไม่มีเครื่องมือสำหรับ ransomware นี้ที่สามารถถอดรหัสอัลกอริทึมการเข้ารหัสของมัน