Пришло письмо с js внутри, в котором происходят странные вещи, кто знает что это такое?

Question

[Алексей Воробьев]

Сегодня на рабочую почту пришло письмо с вполне безобидным содержанием "Доброго времени суток, Мы со своей стороны понимаем, что на дворе кризис, но, тем не менее, мое руководство предлагает подписать Акт сверки (см. вложение)...". Я сразу заметил что вложение с расширением js. Открыл в блокноте, там с некоего сайта качаются 3 файла - exe, bat и doc.
Не смог остановиться, очень стало интересно что же это такое, поднял виртуалку поковырял файлы(даже пробовал запускать exe и bat) и решил написать сюда может кто знает что это такое?
1. Bat файл внутри содержит вот такой текст:

Google translate распознает это как китайский язык: "Йи Пен искуп холостого хода блины Лю Цзяо".
Как bat может быть на китайском? Он чем то зашифрован или скрипты можно писать на разных языках??
2. doc файл при открытии:

Опять китайский и непонятно вообще что это и зачем.
3. При запуске exe происходит скачивание библиотеки GnuPG


Кто нить что-нить знает что это такое? Дико интересно стало.

Спасибо 27cm 27cm, вот что в батнике

Answer 1

[Irina]

Шифровальщик vault, использует гпг, шифрует все файлы *.doc, *.jpg, почту и т.п., создает пару ключей и свою отсылает мошенникам, после чего создает текстовый файл с предложением заплатить деньги, дабы получить ключ и дешифровать файлы. Цена вопроса от 50 до 1000 долларов, сайт мошенников в сети тор. Когда у меня юзвери словили эту заразу, я связывалась с каспером и нод32, они подтвердили, что лекарства нет и не будет еще долго, а сам вирус антивирями не обнаруживается. Так что будьте осторожны и проведите разъяснительную работу с юзверями - это единственный способ максимально избежать заражения.

Answer 2

[Котик Антон]

Читать batник notpadом это пять. Вы бы ещё exeшник им открыли и в google translate перевели)

кто знает что это такое?

Наверняка какой-нибудь троян или ещё какая пакость. Проще антивирусу/антишпиону/антитрояну скормить, он и подскажет, что это.

Comments

[Алексей Воробьев]

Спасибо. И ведь Вы правы. MC открыл и все нормально

[Владимир Мартьянов]

Вы так говорите будто верите в то, что существует антивирус, определяющий любую заразу...

[Котик Антон]

Владимир Мартьянов: Нет, конечно не верю. Но в данном случае наверняка определят.

[Владимир Мартьянов]

27cm: Подумайте зачем выпускать в дикую природу заразу, которую УЖЕ определяют? Отсюда напрашивается вывод: рассылают трой, который никем не детектится на момент рассылки. Реакция АВ - десятки минут.

[Алексей Воробьев]

Владимир Мартьянов: Да все уже понятно, посмотрите последний скрин) Шифруют файлы потом за $ высылают ключи.

[Владимир Мартьянов]

avvor: Я в вирлабе работаю, мне даже смотреть не надо :-)

[Inomaratadeath]

а почему батник блокнотом открывать - нельзя? Разве в процессе открытия выполнится код?

Answer 3

[Владимир Мартьянов]

JS скачивает GPG, который наверняка уже прямо сейчас шифрует ваши файлы :-)

Comments

[Алексей Воробьев]

Я написал что виртуалку развернул в облаке и там экспериментировал, потом удалил ее.

[Владимир Мартьянов]

avvor: И он там все равно наверняка шифровал файлы :-)

Answer 4

[Алексей Воробьев]

А куда можно написать чтоб сайт их заблокировали? Я понимаю что они новый зарегистрируют но хоть что то сделать, от таких ушлепков люди пострадают. Мне вот на корпоративную почту пришло, менеджеры бы 100% это открыли и запустили, повезло что я первый открыл почту утром.

Comments

[Владимир Мартьянов]

Увы, всем кто что-то может сделать - поперек. Вы, конечно, можете написать регистраторам, хостерам, в полицию... Но результат будет предсказуемо нулевой.

[ramjke]

Хостеру жалуйтесь, заблокируют.
См. сюда
Как понизить в выдаче сайт?
Владимир Мартьянов: не всегда, иногда блокируют. А иногда и действительно мимо ушей пропускают. На моей практике, реагируют на каждую вторую заявку.

[Владимир Мартьянов]

ramjke: Поисковая выдача не при чем: трой стучится на сайт и ему на выдачу поперек.

[Алексей Воробьев]

Я в Роскомнадзор написал письмо.

[АртемЪ]

avvor: Никуда не надо писать.
Какой сайт вы считаете нужно заблокировать?
Чем тут поможет Роскомнадзор?
Если хотите сообщить о правонарушении - для этого есть полиция.

[Алексей Воробьев]

АртемЪ: Тот с которого скачиваются исполняемые файлы при запуске скрипта - revault.me

[АртемЪ]

avvor: А вы уверены что это их сайт? Может это вполне себе хороший сайт, просто его взломали.
Да и чтобы ограничить доступ к сайту нужны какие то причины, что он нарушает?

[Александр Таратин]

АртемЪ: >Может это вполне себе хороший сайт, просто его взломали
Так это же наоборот хорошо. Теперь им придет уведомление и дыру закроют наверняка. На письмо от рядового человека скорее всего бы забили.