В одну организацию пришло письмо с темой "Налоговая проверка июль 2014" от другой компании. Т.к. организация работает со множеством контрагентов, то очередное письмо с подобной темой не вызвало никаких подозрений, тем более что в поле "От" в письме стоял, как показалось менеджеру, отправитель с которым у них есть деловые взаимоотношения.

"Начиная с 14 июля на нашем предприятии будет проходить налоговая проверка. Оригиналы отдельных документов, которые касаются нашего сотрудничества, были утеряны. Просьба проверить их наличие (список - см. вложение) Спасибо".

Во вложении находился обычный ZIP'овский архив - Налоговая проверка июль 2014.zip. Однако в нем был файл с длинным именем "Налоговая проверка ВТОРОЙ квартал 2014 года 07.07.2014 просьба проверить наличие документов договора заявки счета инвойсы акты первичные и прочее-mail.dос .js" и "двойным расширением".

Тип файла "Файл JS" нисколько не смутил менеджера, равно как и его размер, и он запустил его. После чего все файлы *.doc, *.docx, *.xls, *.xlsx и др. на всех доступных дисках компьютера окзались зашифрованными. А в корне диска появился файл PAYCRYPT_GMAIL_COM.txt с инструкциями по расшифровке файлов. Злоумышленники требовали перевода денег для получения ключа дешифрования.

Все обнаруженные нами файлы данного трояна-шифровальщика были отправлены нами в антивирусную лабораторию Dr.Web, на данный момент ни один из компонентов данного трояна не детектировался ни одним из известных антивирусов.

Источник: http://blog.compkaluga.ru/2014/07/paycry pttrojancrypt.html