Эксперты антивирусной компании Eset обнаружили новую разновидность трояна-шифратора с уникальным механизмом заражения файлов – Win32/Virlock. 

При заражении файла, не являющегося исполняемым, Win32/Virlock использует специальную схему. Вместо обычного для данного типа вредоносного кода побайтного шифрования он преобразует файл в исполняемый. Для этого Virlock создает новый файл с зашифрованным содержимым документа и своим кодом, удаляет оригинальный файл и перезаписывает новый с тем же именем, но с расширением .exe. Запуск инфицированного файла сопровождается созданием двух новых, осуществляющих дальнейшее заражение системы. Полиморфизм Win32/Virlock гарантирует уникальность тела вредоносной программы в каждом «обработанном» файле.

Часть кода Win32/Virlock отвечает за отображение экрана блокировки и самозащиту, в том числе завершение процессов «Диспетчера задач». Сообщение в окне блокировки содержит требование о выкупе в размере 250 долл. в биткоин-эквиваленте. Анализ транзакций, проведенных по указанному счету, показал, что некоторые жертвы уже заплатили злоумышленникам.

Специалисты Eset зафиксировали несколько модификаций Win32/Virlock, что указывает на его активное развитие злоумышленниками. Код шифратора свидетельствует о высоком уровне технической подготовки авторов программы.