Специалисты антивирусной компании «Доктор Веб» рассказали о первом обнаруженном трояне для бухгалтерского приложения 1С, который запускает шифровальщика-вымогателя. Троян распространяется по электронной почте в виде письма с темой «У нас сменился БИК банка» с вредоносным вложением среди зарегистрированных в базе контрагентов и заражает ПК с установленным 1С.
Специалисты отмечают, что им впервые попался троян, фактически написанный на русском языке. Троян базируется на встроенном языке программирования 1С, который использует кириллицу.
Если пользователь откроет приложенный к письму файл ПроверкаАктуальностиКлассификатораБанков.epf, то запустит выполнение 1C.Drop.1, а пока он выполняется в окне программы «1С:Предприятие» появится форма с изображением котиков. В это время троян рассылает письмо с собственной копией по адресам из базы контрагентов, а затем запускает роянца-шифровальщика Trojan.Encoder.567, которые шифрует файлы на дисках ПК и требует выкуп с пользователя за расшифровку.