Kompiuterių virusas „CTB-Locker“ užkoduoja vartotojo kompiuteryje esančias bylas. Mainais už jų atgavimą nusikaltėliai prašo pervesti tam tikrą sumą pinigų. Priešingu atveju vartotojai, jei neturi duomenų duplikato, turi susitaikyti su jų duomenų praradimu ir perrašyti operacinę sistemą.
„Paprastai virusų tikslas yra tykoti kompiuteryje ir dalyvauti vartotojui nematomoje veikloje – platinti virusus, brukalą, vykdyti DdoS atakas. O šis virusas išskirtinis tuo, kad jis pastebimas iškart“, – kalbėjo R.Rainys.
„Yra ir trečiasis variantas – turėti trečiųjų šalių iššifravimo priemones – programinį kodą, – pasakojo RRT Tinklų ir informacijos priežiūros skyriaus vedėjas Rytis Rainys. – Ankstesnėms „CTB-Locker“ versijoms sukurti algoritmai buvo išmėginti, bet nė vienas neveikia tam, kuris dabar plinta Lietuvoje. Antivirusinės įrangos gamintojai dabar kuria iškodavimo algoritmą“.
Pasak R.Rainio, į RRT padalinį jau kreipėsi šimtai nuo viruso nukentėjusių žmonių. Praktika rodo, kad kreipiasi tik maža dalis, taigi nukentėjusiųjų gali būti ir tūkstančiai. Tarp jų yra ir 67 m. Seimo nario Antano Matulo padėjėja.
Kibernetinių incidentų skaičius Lietuvoje ir pasaulyje nuolat auga. Pernai RRT užfiksavo
36 tūkst. incidentų, iš kurių didžioji dalis yra smulkūs. Ypatingų atvejų pasitaiko vienas ar keli per mėnesį.
„Toks virusas kaip „CTB – Locker“ nėra dažnas – 99 proc. atvejų virusai veikia tyliai ir surinkinėja informaciją. Jų tikslas yra tykoti kompiuteryje ir dalyvauti vartotojui nematomoje veikloje – platinti virusus, brukalą, vykdyti DDoS atakas. O šis virusas išskirtinis tuo, kad jis pastebimas iškart. Jis padaro labai didelę žalą“, – kalbėjo R.Rainys.
Antradienį išplatintame pranešime RRT padalinys CERT–LT išvardino kompiuterių viruso kenkimo požymius ir pateikė rekomendacijas.
Kenkimo kodo požymiai:
- Priklauso išpirkos reikalaujančių virusų šeimai (angl. ransomware).
- Visuose prieinamuose diskuose (standžiuosiuose diskuose, atmintukuose ir tinkliniuose diskuose) pagal tam tikrus plėtinius ieško failų ir vėliau juos užšifruoja.
- Rodo pranešimą anglų kalba, kad failai yra užšifruoti ir kokie turėtų būti tolesni kompiuterio naudotojo veiksmai dėl išpirkos.
- Vienas iš kompiuterio naudotojui nurodomų veiksmų – naudoti „Tor“ naršyklę, su kuria galima jungtis prie sunkiai susekamų tinklalapių sistemos.
- Virusą valdantis serveris (angl. Command-and-Control, C&C) taip pat yra „Tor“ tinkle, o tai smarkiai apsunkina kovą su šios veiklos organizatoriais.
- Išpirką už iššifravimą tenka mokėti bitkoinais (žinomiausia kriptovaliuta).
- Sumokėjus išpirką, failų iššifravimas anaiptol nėra garantuojamas (t. y. naudotojas gali būti apgautas, todėl CERT-LT rekomenduoja nemokėti jokių išpirkų).
CERT-LT rekomenduoja:
- neatidarinėti įtartinų failų, nuorodų, gautų el. paštu;
- kilus abejonei, patikrinti failą interneto svetainėje www.virustotal.com arba https://www.cert.lt/antivirus/ (atkreipiame dėmesį, kad neretai antivirusinės programos atpažįstą kenkimo kodą praėjus tik kelioms dienoms);
- nuolat daryti atsargines kopijas;
- jei yra galimybė, nedirbti kompiuteriu administratoriaus teisėmis (ypač nenaršyti internete).
Jei kompiuteris buvo užkrėstas „CTB Locker“, reikia:
- žemiau nurodytose nuorodose esančioje instrukcijoje „Windows“ „Local Security Policy“ konsolėje uždrausti „CTB Locker“ vykdomojo (*.exe) failo paleidimą;
- pašalinti surastas „CTB Locker“ vykdomojo failo kopijas;
- jei buvo naudojamos tokios „Windows“ OS funkcijos kaip „Shadow Copy“ arba „Previous Version“, pabandyti atkurti užšifruotus failus iš kompiuteryje esančių atsarginių kopijų;
- jei nėra failų atsarginių kopijų (kompiuteryje ar išorinėje laikmenoje), išsaugoti svarbius viruso užšifruotus failus (jei bus rastas iššifravimo būdas, tikėtina, failus pavyks iššifruoti);
- atlikus šiuos veiksmus, iš naujo įdiegti užkrėsto kompiuterio OS ir įdiegti OS atnaujinimus.
