На кого націлений вірус?
Шкідливе програмне забезпечення націлене на користувачів, які є приватними нотаріусами України.
Для надсилання шкідливого програмного забезпечення (ШПЗ) правопорушники використовували поштові сервіси українських компаній www.ukr.net та www.i.ua. Повідомлення із шкідливими додатками надходили начебто від імені державних установ, зокрема судів різних інстанцій.
Для зараження комп’ютерів користувачів зловмисники використовували декілька видів ШПЗ, які мають схожий функціонал. При цьому, використовувались різні методи їх розповсюдження (наприклад, користувачі отримували архівні файли, які зовні виглядали як файли формату .pdf).
Злочинці навіть підробили зміст цих файлів – зовні вони виглядали як відсканований документ, створений від імені державної установи. В деяких інших випадках розповсюдження вірусу відбувалось за допомогою документів формату .docx із вбудованим шкідливим ʺOLEʺ об’єктом. Після відкриття документу користувачем, відбувався запуск шкідливого програмного забезпечення. Автоматично відбувалось додавання запису в реєстр операційної системи для його автозавантаження.
Згідно результатів аналізу, вказане ШПЗ є модифікованою версією легального програмного забезпечення ʺRMS TektonITʺ.
Щоб заборонити автоматичний запуск ШПЗ потрібно виконати наступні кроки:
- запустіть редактор реєстру. Для цього необхідно натиснути клавішу «Пуск» та внести для пошуку запис «regedit»
- Знайдіть наступну гілку реєстру — HKCUSoftwareMicrosoftWindowsCurrentVersionRun
- Власноруч видаліть знайдений запис такого змісту — «Microtik»
- на системному диску операційної системи видаліть теку — :ProgramDataMicrotik
- перезавантажте комп’ютер.