Компанія ESET попереджає про те, що зловмисники почали експлуатувати пошукову систему Google з метою поширення шкідливої програми Nymaim - трояна з функціями вимагача.
До недавнього часу для доставки Nymaim на комп'ютер жертви застосовувався поширений експлойт-пак BlackHole. Однак після того, як у Росії затримали ймовірного автора цього пакета, кіберзлочинці почали використовувати новий спосіб зараження комп'ютерів.
Аналіз картини поширення Nymaim показав, що посилання на сторінки, що містять файл зі шкідливим кодом, у багатьох випадках користувачі отримували через пошукову видачу Google. Згідно з результатами дослідження веб-сторінок, які ініціювали завантаження трояна-здирника, для масштабного зараження зловмисники використовували т. зв. «темну пошукову оптимізацію» (Black Hat SEO), за допомогою якої просували спеціально створені шкідливі сторінки в топ видачі за популярними ключовими словами. Натиснувши на таке посилання, користувач перенаправляється на шкідливу сторінку і ініціює завантаження архіву, назва якого для підвищення довіри відповідає введеному в рядок пошуку тексту. Тобто один і той же архів буде завантажений з різними іменами залежно від пошукового запиту.
У архіві розташовано виконуваний файл, під час запуску якого в систему впроваджується Nymaim. Інфікування відбувається в два етапи: потрапивши на комп'ютер, перший шкідливий файл здійснює приховане завантаження і запуск другого файлу, який, у свою чергу, також може завантажувати додаткове шкідливе ПЗ, а може і просто блокувати операційну систему для отримання викупу.
Експерти виявили понад десяток варіантів екрану блокування, створених різними мовами і з різним оформленням. Вартість викупу відрізняється для різних країн: в середньому вона становить $150, але може досягати і $300. На даний момент виявлені екрани блокування з Австрії, Великобританії, Німеччини, Ірландії, Іспанії, Канади, Мексики, Нідерландів, Норвегії, Румунії, Франції та США.
