Er is een nieuwe vorm van ransomware actief die bestanden op computers voor losgeld versleutelt en zich via het Tor-netwerk voor onderzoekers en opsporingsdiensten probeert te verbergen. Het gaat om de CTB-Locker (Curve-Tor-Bitcoin Locker), die door Microsoft 'Critroni' wordt genoemd.

De malware wordt sinds halverwege juni op fora voor cybercriminelen aangeboden en werd in eerste instantie vooral tegen Russische internetgebruikers ingezet, maar nu zijn ook gebruikers uit andere landen het doelwit. Dat meldt beveiligingsonderzoeker Kafeine van het blog Malware Don't Need Coffee. Volgens de ontwikkelaar van CTB-Locker zorgt het gebruik van Tor ervoor dat gebruikers van de ransomware zo goed als niet zijn op te sporen. Ook de servers waarmee de ransomware communiceert zouden door het Tor-netwerk lastig zijn uit te schakelen.

CTB-Locker verspreidt zich via drive-by downloads, waarbij de ransomware bekende softwarelekken gebruikt die niet door gebruikers zijn gepatcht. Eenmaal actief versleutelt het bestanden op de computer en moeten slachtoffers een bedrag in Bitcoins betalen. Daarbij krijgen gebruikers afhankelijk van hun locatie of systeem een waarschuwing in het Engels of Russisch. Andere talen zouden nog niet door de ransomware worden ondersteund.

De ontwikkelaar merkt op dat de Bitcoins van slachtoffers niet op de ransomware-server worden bewaard. Mocht de server toch worden uitgeschakeld of offline gaan, dan hoeven gebruikers van de ransomware niet bang te zijn dat hun geld ook weg is. Daarnaast zou CTB-Locker zeer gebruiksvriendelijk voor cybercriminelen zijn. De ransomware wordt inclusief installatieprogramma voor een server, handleiding en gratis support geleverd, zodat er meteen met het verspreiden van exemplaren kan worden begonnen. CTB-Locker heeft een vraagprijs 3.000 dollar.