Редактирование: CryptoLocker

{{Вредоносная программа
|name      = '''CryptoLocker'''
|full_name = 
|image     = 
|caption   = 
|type      = [[троянская программа]], [[Ransomware]]
|year      = [[5 сентября]] [[2013 год]]а
|target    = 
|symantec_link  = https://www.symantec.com/security_response/writeup.jsp?docid=2013-091122-3112-99
}}

'''Атака программы-вымогателя CryptoLocker''' — [[Атака на информационную систему|кибератака]] с использованием [[Ransomware|программы-вымогателя]] ''CryptoLocker'', которая произошла в период с 5 сентября 2013 года по конец мая 2014 года. В результате атаки была использована [[троянская программа]], заражающая компьютеры под управлением операционной системы [[Microsoft Windows]]<ref name="arst">{{cite web |url=https://arstechnica.com/security/2013/10/youre-infected-if-you-want-to-see-your-data-again-pay-us-300-in-bitcoins/ |title=You’re infected — if you want to see your data again, pay us $300 in Bitcoins |subtitle=Ransomware comes of age with unbreakable crypto, anonymous payments |author=Dan Goodin |date=2013-10-18 |publisher=''[[Ars Technica]]'' |accessdate=2017-06-01 |lang=en |archive-date=2013-10-23 |archive-url=https://web.archive.org/web/20131023230916/http://arstechnica.com/security/2013/10/youre-infected-if-you-want-to-see-your-data-again-pay-us-300-in-bitcoins/ |deadlink=no }}</ref>, и, как предполагается, данная программа была впервые размещена в Интернете 5 сентября 2013 года<ref>{{cite web |url=http://www.bbc.com/news/technology-25506020 |title=Cryptolocker ransomware has 'infected about 250,000 PCs' |author=Leo Kelion |date=2013-12-24 |publisher=[[BBC]] |accessdate=2017-06-01 |lang=en |archive-date=2019-03-22 |archive-url=https://web.archive.org/web/20190322141441/https://www.bbc.com/news/technology-25506020 |deadlink=no }}</ref>. Троян распространялся через заражённые вложения электронной почты, заражённые сайты и через существующий на компьютере пользователя [[ботнет]]. При заражении компьютера вредоносная программа [[Шифрование|шифрует]] определённые типы файлов, хранящихся на локальных и подключённых сетевых дисках, используя [[Криптосистема с открытым ключом|криптосистему с открытым ключом]] [[RSA]], причём закрытый ключ хранится только на серверах управления вредоносной программой. Затем вредоносное ПО отображает сообщение, которое предлагает расшифровать данные, если платёж (через [[биткойн]]ы или предоплаченный кассовый ваучер) производится в указанный срок, и пользователю будет угрожать удаление закрытого ключа в случае истечения срока. Если этот срок не соблюдается, вредоносное ПО предлагает расшифровать данные через онлайн-сервис, предоставляемый операторами вредоносного ПО, за значительно более высокую цену в биткойнах, при этом нет никакой гарантии, что оплата приведёт к расшифровке контента.

Хотя сам CryptoLocker может быть легко удален, затронутые файлы оставались зашифрованными таким образом, который исследователи считали невозможным для расшифровки. Многие считают, что [[выкуп]] не должен быть оплачен, но при этом не предлагается никакого способа восстановить файлы; другие утверждают, что выплата выкупа является единственным способом восстановления файлов, которые не были сохранены посредством [[Резервное копирование|резервного копирования]]. Некоторые жертвы утверждали, что выплата выкупа не всегда ведет к расшифровке файлов.

CryptoLocker был изолирован в конце мая 2014 года в результате {{нп5|Операция «Tovar»|операции «Tovar»||Operation Tovar}}, и в это же время также был захвачен ботнет [[Gameover ZeuS]], который использовался для распространения вредоносного ПО. Во время операции фирма безопасности, участвующая в этом процессе, получила базу данных закрытых ключей, используемых CryptoLocker, которая, в свою очередь, использовалась для создания онлайн-инструмента для восстановления ключей и файлов без выплаты выкупа. Считается, что операторы CryptoLocker успешно получили, в общей сложности, около 3 миллионов долларов от жертв трояна. Другие экземпляры нижеприведённых шифровательных программ-вымогателей использовали имя (или варианты) CryptoLocker, но в остальном они не связаны между собой.

== Работа ==
CryptoLocker обычно распространяется как приложение к якобы безобидному сообщению электронной почты, которое выглядит как отправление из легальной компании<ref name="SW">{{cite web |url=http://www.securityweek.com/cryptolocker-infections-rise-us-cert-issues-warning |title=Cryptolocker Infections on the Rise; US-CERT Issues Warning |author=Ryan Naraine |date=2013-11-19 |publisher=SecurityWeek |accessdate=2017-06-01 |lang=en |archive-date=2016-06-10 |archive-url=https://web.archive.org/web/20160610183317/http://www.securityweek.com/cryptolocker-infections-rise-us-cert-issues-warning |deadlink=no }}</ref>. Почтовый файл, прикреплённый к сообщению электронной почты, содержит исполняемый файл с именем файла и значком, замаскированным под файл [[PDF]]: используя, таким образом, преимущества поведения Windows по умолчанию для скрытия расширения из имен файлов, чтобы скрыть реальное расширение — .EXE. CryptoLocker также распространялся с использованием трояна и ботнета Gameover ZeuS<ref name=" KoS">{{cite web |url=http://krebsonsecurity.com/2014/06/operation-tovar-targets-gameover-zeus-botnet-cryptolocker-scourge/ |title=‘Operation Tovar’ Targets ‘Gameover’ ZeuS Botnet, CryptoLocker Scourge |author=Brian Krebs |date=2014-06-02 |publisher=Krebs on Security |accessdate=2017-06-01 |lang=en |archive-date=2014-06-04 |archive-url=https://web.archive.org/web/20140604174558/http://krebsonsecurity.com/2014/06/operation-tovar-targets-gameover-zeus-botnet-cryptolocker-scourge/ |deadlink=no }}</ref><ref name="BC">{{cite web |url=https://www.bleepingcomputer.com/virus-removal/cryptolocker-ransomware-information |title=CryptoLocker Ransomware Information Guide and FAQ |author=Lawrence Abrams |date=2013-10-14 |publisher=Bleeping Computer |accessdate=2017-06-01 |lang=en |archive-date=2017-05-31 |archive-url=https://web.archive.org/web/20170531034300/https://www.bleepingcomputer.com/virus-removal/cryptolocker-ransomware-information |deadlink=no }}</ref><ref name="ComputerW">{{cite web |url=http://www.computerworld.com/article/2485214/microsoft-windows/cryptolocker-how-to-avoid-getting-infected-and-what-to-do-if-you-are.html |title=Cryptolocker: How to avoid getting infected and what to do if you are |author=Jonathan Hassell |date=2013-10-25 |publisher=''Computerworld'' |accessdate=2017-06-01 |lang=en |archive-date=2017-06-11 |archive-url=https://web.archive.org/web/20170611234622/http://www.computerworld.com/article/2485214/microsoft-windows/cryptolocker-how-to-avoid-getting-infected-and-what-to-do-if-you-are.html |deadlink=no }}</ref>.

При первом запуске [[полезная нагрузка]] трояна устанавливается в папку профиля пользователя и добавляет ключ в реестр, который заставляет его запускаться при запуске компьютера. Затем он пытается связаться с одним из нескольких назначенных командных и управляющих серверов; после подключения сервер генерирует пару [[RSA-числа#RSA-2048|2048 битных]] ключей [[RSA]] и отправляет открытый ключ на заражённый компьютер<ref name="arst" /><ref name="BC" />. Сервера могут быть локальными прокси и проходить через другие сервера, часто перемещаться в разных странах, чтобы затруднить их отслеживание<ref>{{cite web |url=https://nakedsecurity.sophos.com/2013/10/12/destructive-malware-cryptolocker-on-the-loose/ |title=Destructive malware “CryptoLocker” on the loose – here’s what to do |author=Paul Ducklin |date=2013-10-12 |publisher=Naked Security |accessdate=2017-06-01 |lang=en |archive-date=2013-10-22 |archive-url=https://web.archive.org/web/20131022233250/http://nakedsecurity.sophos.com/2013/10/12/destructive-malware-CryptoLocker-on-the-loose/ |deadlink=no }}</ref><ref name="guardian">{{cite web |url=https://www.theguardian.com/money/2013/oct/19/cryptolocker-attacks-computer-ransomeware |title=CryptoLocker attacks that hold your computer to ransom |author=Donna Ferguson |date=2013-10-19 |publisher=''[[The Guardian]]'' |accessdate=2017-06-01 |lang=en |archive-date=2017-03-05 |archive-url=https://web.archive.org/web/20170305034848/https://www.theguardian.com/money/2013/oct/19/cryptolocker-attacks-computer-ransomeware |deadlink=no }}</ref>.

Затем полезная нагрузка шифрует файлы на локальных жёстких дисках и подключённых сетевых дисках с открытым ключом и регистрирует каждый файл, зашифровывая их в раздел реестра. Процесс шифрует только файлы данных с определёнными расширениями, включая [[Microsoft Office]], [[OpenDocument]] и другие документы, изображения, а также файлы [[AutoCAD]]<ref name="ComputerW" />. Полезная нагрузка отображает сообщение, информирующее пользователя о том, что файлы были зашифрованы, и требует оплаты в размере 400 [[Доллар США|долларов США]] или [[евро]] через анонимный предоплаченный кассовый ваучер (например, MoneyPak или {{нп5|Ukash|||Ukash}}) или эквивалентную сумму в [[биткойн]]е (BTC) в течение 72 или 100 часов (начиная с 2 BTC, цена выкупа была скорректирована операторами до 0,3 BTC, чтобы отразить колебательное значение биткойна)<ref name="zdn">{{cite web |url=http://www.zdnet.com/article/cryptolockers-crimewave-a-trail-of-millions-in-laundered-bitcoin/ |title=CryptoLocker’s crimewave: A trail of millions in laundered Bitcoin |author=Violet Blue |date=2013-12-22 |publisher=[[ZDNet]] |accessdate=2017-06-01 |lang=en |archive-date=2017-05-17 |archive-url=https://web.archive.org/web/20170517005048/http://www.zdnet.com/article/cryptolockers-crimewave-a-trail-of-millions-in-laundered-bitcoin/ |deadlink=no }}</ref>, или же закрытый ключ на сервере будет уничтожен, и «никто и никогда не сможет восстановить файлы»<ref name="arst" /><ref name="BC" />. Оплата выкупа позволяет пользователю загрузить программу дешифрования, которая предварительно загружена с помощью закрытого ключа пользователя<ref name="BC" />. Некоторые инфицированные жертвы утверждают, что они платили злоумышленникам, но их файлы не были расшифрованы<ref name="SW" />.

В ноябре 2013 года операторы CryptoLocker запустили онлайн-службу, которая позволяет пользователям расшифровывать свои файлы без программы CryptoLocker и приобретать ключ дешифрования по истечении крайнего срока; процесс включал в себя загрузку зашифрованного файла на сайт в качестве образца и ожидание, пока служба найдёт соответствие; сайт утверждал, что ключ будет найдён в течение 24 часов. После обнаружения пользователь может заплатить за ключ онлайн, но если 72-часовой крайний срок прошёл, стоимость увеличивалась до 10 биткойнов<ref>{{cite web |url=http://www.networkworld.com/article/2225714/microsoft-subnet/cryptolocker-crooks-charge-10-bitcoins-for-second-chance-decryption-service.html |title=CryptoLocker crooks charge 10 Bitcoins for second-chance decryption service |author=Ms. Smith |date=2013-11-04 |publisher=''[[Network World]]'' |accessdate=2017-06-01 |lang=en |archive-date=2017-04-15 |archive-url=https://web.archive.org/web/20170415053922/http://www.networkworld.com/article/2225714/microsoft-subnet/cryptolocker-crooks-charge-10-bitcoins-for-second-chance-decryption-service.html |deadlink=no }}</ref><ref name="pcworld">{{cite web |url=http://www.pcworld.com/article/2060640/cryptolocker-creators-try-to-extort-even-more-money-from-victims-with-new-service.html |title=CryptoLocker creators try to extort even more money from victims with new service |author=Lucian Constantin |date=2013-11-04 |publisher=''PC World'' |accessdate=2017-06-01 |lang=en |archive-date=2017-04-30 |archive-url=https://web.archive.org/web/20170430230656/http://pcworld.com/article/2060640/cryptolocker-creators-try-to-extort-even-more-money-from-victims-with-new-service.html |deadlink=no }}</ref>.

=== Удаление и восстановление файлов ===
2 июня 2014 года [[Министерство юстиции США]] официально объявило, что в предыдущие выходные, в ходе {{нп5|Операция «Tovar»|операции «Tovar»||Operation Tovar}} — консорциум, в который входят: группа правоохранительных органов (включая [[ФБР]] и [[Интерпол]]), поставщики программного обеспечения безопасности и несколько университетов — был захвачен ботнет [[Gameover ZeuS]], который использовался для распространения CryptoLocker и других вредоносных программ. Министерство юстиции также публично предъявило обвинение российскому хакеру Евгению Богачёву за его предполагаемую причастность к ботнету<ref name="KoS" /><ref>{{cite web |url=http://www.computerworld.com/article/2476366/cybercrime-hacking/wham-bam--global-operation-tovar-whacks-cryptolocker-ransomware---gameover-zeus-b.html |title=Wham bam: Global Operation Tovar whacks CryptoLocker ransomware & GameOver Zeus botnet |author=Darlene Storm |date=2014-06-02 |publisher=''Computerworld'' |accessdate=2017-06-01 |lang=en |archive-date=2017-05-18 |archive-url=https://web.archive.org/web/20170518121836/http://www.computerworld.com/article/2476366/cybercrime-hacking/wham-bam--global-operation-tovar-whacks-cryptolocker-ransomware---gameover-zeus-b.html |deadlink=no }}</ref><ref>{{cite web |url=https://www.justice.gov/opa/pr/us-leads-multi-national-action-against-gameover-zeus-botnet-and-cryptolocker-ransomware |title=U.S. Leads Multi-National Action Against “Gameover Zeus” Botnet and “Cryptolocker” Ransomware, Charges Botnet Administrator |date=2014-06-02 |publisher=[[Министерство юстиции США]] |accessdate=2017-06-01 |lang=en |archive-date=2017-06-01 |archive-url=https://web.archive.org/web/20170601101055/https://www.justice.gov/opa/pr/us-leads-multi-national-action-against-gameover-zeus-botnet-and-cryptolocker-ransomware |deadlink=no }}</ref>.

В рамках этой операции нидерландская фирма Fox-IT смогла получить базу данных секретных ключей, используемых CryptoLocker. В августе 2014 года Fox-IT и другая компания, [[FireEye]], представили онлайн-сервис, который позволяет пользователям с заражёнными компьютерами извлекать свой секретный ключ, загружая образец файла, а затем получая инструмент дешифрования<ref>{{cite web |url=http://krebsonsecurity.com/2014/08/new-site-recovers-files-locked-by-cryptolocker-ransomware/ |title=New Site Recovers Files Locked by Cryptolocker Ransomware |author=Brian Krebs |date=2014-08-06 |publisher=Krebs on Security |accessdate=2017-06-01 |lang=en |archive-date=2017-06-07 |archive-url=https://web.archive.org/web/20170607013755/http://krebsonsecurity.com/2014/08/new-site-recovers-files-locked-by-cryptolocker-ransomware/ |deadlink=no }}</ref><ref name="bbcnews">{{cite web |url=http://www.bbc.com/news/technology-28661463 |title=Cryptolocker victims to get files back for free |author=Mark Ward |date=2014-08-06 |publisher=[[BBC]] |accessdate=2017-06-01 |lang=en |archive-date=2017-05-23 |archive-url=https://web.archive.org/web/20170523020205/http://www.bbc.com/news/technology-28661463 |deadlink=no }}</ref>.

== Уменьшение последствий ==
Хотя программное обеспечение безопасности предназначено для обнаружения таких угроз, оно может вообще не обнаружить CryptoLocker во время выполнения шифрования или после её завершения, особенно если распространена новая версия, неизвестная защитному программному обеспечению. Если атака подозревается или обнаруживается на ранних стадиях, трояну требуется больше времени для шифрования: немедленное удаление вредоносного ПО (относительно простой процесс) до его завершения лишь ограничит его повреждение данных<ref>{{cite web |url=https://blog.malwarebytes.com/101/2013/10/cryptolocker-ransomware-what-you-need-to-know/ |title=Cryptolocker Ransomware: What You Need To Know |author=Joshua Cannell |date=2013-10-08 |publisher=Malwarebytes |accessdate=2017-06-01 |lang=en |archive-date=2021-09-30 |archive-url=https://web.archive.org/web/20210930200636/https://blog.malwarebytes.com/101/2013/10/cryptolocker-ransomware-what-you-need-to-know/ |deadlink=no }}</ref><ref name="register">{{cite web |url=https://www.theregister.co.uk/2013/10/18/cryptolocker_ransmware |title=Fiendish CryptoLocker ransomware: Whatever you do, don’t PAY |author=John Leyden |date=2013-10-18 |publisher=''[[The Register]]'' |accessdate=2017-06-01 |lang=en |archive-date=2013-10-18 |archive-url=https://web.archive.org/web/20131018131317/http://www.theregister.co.uk/2013/10/18/cryptolocker_ransmware/ |deadlink=no }}</ref>. Эксперты предложили меры предосторожности, такие как использование программного обеспечения или других политик безопасности для блокирования полезной нагрузки CryptoLocker<ref name="arst" /><ref name="BC" /><ref name="ComputerW" /><ref name="guardian" /><ref name="register" />.

Из-за характера работы CryptoLocker некоторые эксперты неохотно предположили, что выплата выкупа — единственный способ восстановить файлы из CryptoLocker в отсутствие текущих резервных копий (автономные резервные копии, сделанные до того, как произошло заражение, недоступные с заражённых компьютеров, не могут быть атакованы CryptoLocker)<ref name="SW" />, из-за длины ключа, используемого CryptoLocker, эксперты считали практически невозможным использовать [[брутфорс]] для получения ключа, необходимого для дешифрования файлов без выплаты выкупа; аналогичный троянец 2008 года Gpcode.AK использовал 1024-битный ключ, который считался достаточно длинным, что вычислить ключ его было невозможно, без возможности согласованных и распределённых усилий, или обнаружить брешь, который можно было бы использовать для дешифровки<ref name="BC" /><ref name="pcworld" /><ref>{{cite web |url=http://www.zdnet.com/article/blackmail-ransomware-returns-with-1024-bit-encryption-key/ |title=Blackmail ransomware returns with 1024-bit encryption key |author=Ryan Naraine |date=2008-06-06 |publisher=[[ZDNet]] |accessdate=2017-06-01 |lang=en |archive-date=2016-11-17 |archive-url=https://web.archive.org/web/20161117021618/http://www.zdnet.com/article/blackmail-ransomware-returns-with-1024-bit-encryption-key/ |deadlink=no }}</ref><ref>{{cite web |url=http://www.securityfocus.com/news/11523 |title=Ransomware resisting crypto cracking efforts |author=Robert Lemos |date=2008-06-13 |publisher=SecurityFocus |accessdate=2017-06-01 |lang=en |archive-date=2016-03-03 |archive-url=https://web.archive.org/web/20160303194706/http://www.securityfocus.com/news/11523 |deadlink=no }}</ref>. Аналитик [[Sophos]] по безопасности Пол Даклин ({{lang-en|Paul Ducklin}}) предположил, что онлайн-служба дешифрования CryptoLocker включает в себя атаку словаря против собственного шифрования, используя свою базу данных ключей, объясняя требование ждать до 24 часов, чтобы получить результат<ref name="pcworld" />.

== Выплаченные выкупы ==
В декабре 2013 года сайт [[ZDNet]] отследил четыре адреса биткойнов, размещённых пользователями, компьютеры которых были заражены CryptoLocker, в попытке оценить затраты операторов. Эти четыре адреса показали динамику в 41 928 BTC с 15 октября по 18 декабря: около 27 млн $ [[Доллар США|долларов США]] на то время<ref name="zdn" />.

По опросам исследователей из {{нп5|Кентский университет|Кентского университета||University of Kent}}, 41 % из тех, кто утверждал, что были жертвами, сказали, что они решили выплатить выкуп: доля выплативших выкуп оказалась намного больше, чем ожидалось. По оценкам [[Symantec]], 3 % жертв заплатили и, по оценкам Dell SecureWorks, примерно 0,4 % жертв заплатили<ref>{{cite web |url=https://cyber.kent.ac.uk/Survey2.pdf |title=Results of online survey by Interdisciplinary Research Centre in Cyber Security at the University of Kent in Canterbury |author=Julio Hernandez-Castro, Eerke Boiten и Magali Barnoux |publisher=Кентский университет |accessdate=2017-06-01 |lang=en |archiveurl=https://web.archive.org/web/20170824145753/https://cyber.kent.ac.uk/Survey2.pdf |archivedate=2017-08-24 |deadlink=yes }}</ref>. После закрытия ботнета, который использовался для распространения CryptoLocker, было подсчитано, что около 1,3 % инфицированных заплатили выкуп; многие из них смогли восстановить файлы с помощью резервного копирования, а другие, как полагают, потеряли огромное количество данных. Тем не менее, считается, что операторам трояна удалось получить в общей сложности около 3 миллионов долларов<ref name="bbcnews" />.

== Клоны ==
Успех CryptoLocker породил ряд несвязанных и аналогично названных троянских программ-вымогателей (Ransomware), работающих по существу таким же образом<ref name="blogTM">{{cite web |url=http://blog.trendmicro.com/trendlabs-security-intelligence/new-cryptolocker-spreads-via-removable-drives/ |title=New CryptoLocker Spreads via Removable Drives |author=Abigail Pichel |date=2013-12-25 |publisher=[[Trend Micro]] |accessdate=2017-06-01 |lang=en |archive-date=2016-11-04 |archive-url=https://web.archive.org/web/20161104095631/http://blog.trendmicro.com/trendlabs-security-intelligence/new-cryptolocker-spreads-via-removable-drives/ |deadlink=no }}</ref><ref>{{cite web |url=http://www.computerworld.com/article/2489311/encryption/cryptodefense-ransomware-leaves-decryption-key-accessible.html |title=CryptoDefense ransomware leaves decryption key accessible |author=Jeremy Kirk |date=2014-04-01 |publisher=''Computerworld'' |accessdate=2017-06-01 |lang=en |archive-date=2017-09-18 |archive-url=https://web.archive.org/web/20170918063717/https://www.computerworld.com/article/2489311/encryption/cryptodefense-ransomware-leaves-decryption-key-accessible.html |deadlink=no }}</ref><ref>{{cite web |url=https://www.theregister.co.uk/2014/04/03/cryptodefense_rsa_private_key_on_disk/ |title=Your files held hostage by CryptoDefense? Don’t pay up! The decryption key is on your hard drive |author=Iain Thomson |date=2014-04-03 |publisher=''[[The Register]]'' |accessdate=2017-06-01 |lang=en |archive-date=2016-12-26 |archive-url=https://web.archive.org/web/20161226042004/http://www.theregister.co.uk/2014/04/03/cryptodefense_rsa_private_key_on_disk |deadlink=no }}</ref><ref name="ARN">{{cite web |url=https://www.arnnet.com.au/article/556598/australia-specifically-targeted-by-cryptolocker-symantec/ |title=Australia specifically targeted by Cryptolocker: Symantec |subtitle=Security vendor finds the latest variant of the cryptomalware |author=Patrick Budmar |date=2014-10-03 |publisher=ARNnet |accessdate=2017-06-01 |lang=en |archive-date=2018-06-16 |archive-url=https://web.archive.org/web/20180616053326/https://www.arnnet.com.au/article/556598/australia-specifically-targeted-by-cryptolocker-symantec/ |deadlink=no }}</ref>, включая некоторые, которые называют себя как «CryptoLocker», но, согласно исследователям безопасности, не связаны с оригинальным CryptoLocker<ref name="blogTM" /><ref>{{cite web |url=https://www.welivesecurity.com/2013/12/19/cryptolocker-2-0-new-version-or-copycat/ |title=Cryptolocker 2.0 – new version, or copycat? |author=Robert Lipovsky |date=2013-12-19 |publisher=WeLiveSecurity |accessdate=2017-06-01 |lang=en |archive-date=2017-06-02 |archive-url=https://web.archive.org/web/20170602210459/https://www.welivesecurity.com/2013/12/19/cryptolocker-2-0-new-version-or-copycat/ |deadlink=no }}</ref><ref name="symantec">{{cite web |url=https://www.symantec.com/connect/blogs/australians-increasingly-hit-global-tide-cryptomalware |title=Australians increasingly hit by global tide of cryptomalware |date=2014-09-26 |publisher=[[Symantec]] |accessdate=2017-06-01 |lang=en |archiveurl=https://web.archive.org/web/20180616030614/https://www.symantec.com/connect/blogs/australians-increasingly-hit-global-tide-cryptomalware |archivedate=2018-06-16 |deadlink=yes }}</ref>.

В сентябре 2014 года клоны, такие как CryptoWall и TorrentLocker (чья полезная нагрузка идентифицирует себя как «CryptoLocker», но названа для использования раздела реестра с именем «BitTorrent Application»)<ref>{{cite web |url=https://www.welivesecurity.com/2014/09/04/torrentlocker-now-targets-uk-royal-mail-phishing/ |title=TorrentLocker now targets UK with Royal Mail phishing |author=Marc-Etienne M. Léveillé |date=2014-09-04 |publisher=WeLiveSecurity |accessdate=2017-06-01 |lang=en |archive-date=2017-11-07 |archive-url=https://web.archive.org/web/20171107165038/https://www.welivesecurity.com/2014/09/04/torrentlocker-now-targets-uk-royal-mail-phishing/ |deadlink=no }}</ref>, начал распространяться в Австралии. Программа-вымогатель использует заражённые электронные письма, предположительно отправленные правительственными ведомствами (например, [[почта Австралии]], чтобы указать неудачную доставку посылок) в качестве полезной нагрузки. Чтобы избежать обнаружения автоматическими сканерами электронной почты, которые могут следить за ссылками, этот вариант был разработан, чтобы потребовать от пользователей посещения веб-страницы и ввода кода CAPTCHA до фактической загрузки. Symantec определил, что эти новые варианты, которые он идентифицировал как «CryptoLocker.F», не были связаны с оригиналом<ref name="ARN" /><ref name="symantec" /><ref>{{cite web |url=http://www.smh.com.au/digital-life/consumer-security/scammers-use-australia-post-to-mask-email-attacks-20141008-10ru0s |title=Scammers use Australia Post to mask email attacks |author=Adam Turner |date=2014-10-15 |publisher=''[[The Sydney Morning Herald]]'' |accessdate=2017-06-01 |lang=en |archive-date=2017-11-08 |archive-url=https://web.archive.org/web/20171108040237/http://www.smh.com.au/digital-life/consumer-security/scammers-use-australia-post-to-mask-email-attacks-20141008-10ru0s |deadlink=no }}</ref><ref>{{cite web |url=http://www.csoonline.com/article/2692614/cyber-attacks-espionage/ransomware-attack-knocks-tv-station-off-air.html |title=Ransomware attack knocks TV station off air |author=Steve Ragan |date=2014-10-07 |publisher=CSO Online |accessdate=2017-06-01 |lang=en |archive-date=2017-11-07 |archive-url=https://web.archive.org/web/20171107165630/https://www.csoonline.com/article/2692614/cyber-attacks-espionage/ransomware-attack-knocks-tv-station-off-air.html |deadlink=no }}</ref>.

== Примечания ==
{{примечания|2}}

{{Хакерские атаки 2010-х}}

[[Категория:Киберпреступность]]
[[Категория:Криптографические атаки]]
[[Категория:Компьютерные вирусы и сетевые черви]]