Эксперты компании Heimdal Security выявили связь между шифровальщиком-вымогателем Jaff и подпольным «рынком» PaySell, на котором продаются взломанные банковские счета, учетные записи ****** и eBay и другие подобные товары.

Как утверждают эксперты Heimdal, Jaff и PaySell используют одну и ту же инфраструктуру, ключевым элементом которой является сервер с IP-адресом 5.101.66.85. Этот адрес принадлежит хостинг-провайдеру, располагающемуся в Санкт-Петербурге.

Связь трояна Jaff и биржи PaySell очевидна и ресурсу VirusTotal, который подтверждает, что шифровальщик Jaff действительно раздавался с того же сервера, на котором располагается PaySell.

Уже неоднократно высказывались предположения, что Jaff - дело рук тех же киберпреступников, которые ранее донимали Сеть банковским троянцем Dridex и шифровальщиком Locky. Их, как и Jaff, распространяет в первую очередь спам-ботнет Necurs, один из крупнейших, если не самый крупный, в мире.

Именно эту информацию и продают на PaySell. Эксперты полагают, что это действительно могут быть данные, похищенные с помощью Dridex.

«Киберкриминальная биржа, располагающаяся на том же сервере, через который раздается шифровальщик-вымогатель, - это вряд ли совпадение, - полагает Георгий Лагода, генеральный директор компании SEC-Consult Services. - Вероятнее всего, операторы Jaff, Dridex И Paysell - одни и те же люди, или же несколько формально независимых, но тесно связанных группировок».

Подробнее: Популярная киберкриминальная биржа и известный троян-шифровальщик хостятся в Петербурге - CNews