Вредонос, получивший название WeChat Payment, атакует исключительно пользователей в Поднебесной. Помимо шифрования файлов, он также способен похищать пароли к учетным записям на популярных китайских сайтах и в социальных сетях, в том числе Alipay, NetEase 163, Baidu Cloud Disk, Jingdong (JD.com), Taobao, Tmall, AliWangWang и QQ, и собирать информацию об инфицированной системе, включая модель процессора, сведения о разрешении экрана и установленных программах.
По данным экспертов компании Velvet Security, злоумышленники внедрили вредоносный код в компилятор «EasyLanguage», используемый большим количеством разработчиков приложений. Вредоносная версия встраивала код вымогателя во все приложения, которые компилировались с ее помощью.
Оказавшись на системе, вымогатель шифрует все файлы на устройстве, за исключением тех, что имеют расширение .gif, .exe и .tmp. Для обхода антивирусов авторы вредоноса подписали его цифровым сертификатом Tencent Technologies. Кроме того, в целях избежания детектирования вымогатель игнорирует папки Tencent Games, League of Legends, tmp, rtl и Program.
На выплату требуемой суммы жертвам предоставляется три дня. В случае отсутствия оплаты злоумышленники угрожают удалить ключ дешифрования с сервера. Однако, как оказалось, пользователи сами могут расшифровать файлы, поскольку копия ключа дешифрования хранится локально на компьютере жертвы.
Экспертам удалось получить доступ к управляющему серверу и базе данных MySQL злоумышленников, где они нашли тысячи учетных данных. Всю имеющуюся информацию исследователи передали правоохранительным органам Китая для дальнейшего расследования.
