De meeste ransomware verspreidt zich via e-mail en ongepatchte software, maar onderzoekers hebben nu een variant ontdekt die de boekhoudsoftware 1C gebruikt om systemen te besmetten. Het Russische softwarebedrijf 1C Company is de ontwikkelaar van de gelijknamige boekhoudsoftware.

De nu waargenomen aanvallen beginnen met een e-mail waarin wordt beweerd dat de BIC-code van de afzender is veranderd en of de ontvanger dit in zijn boekhoudsoftware wil aanpassen. Hiervoor moet de ontvanger het meegestuurde bestand openen. Het gaat hier om een specifiek 1C-bestand, eindigend op .epf. Zodra gebruikers de bijlage met de boekhoudsoftware openen verschijnt er een venster. Als één van de knoppen in het venster wordt aangeklikt zal de malware zich installeren.

Eenmaal actief zoekt de malware eerst in de 1C-database naar leveranciers en stuurt deze partijen dezelfde besmette e-mail met de kwaadaardige bijlage. Als afzender wordt echter het e-mailadres van de besmette computer gebruikt. Hierna downloadt de malware een ransomware-exemplaar dat allerlei gegevens op het systeem voor losgeld versleutelt, zo meldt het Russische anti-virusbedrijf Doctor Web. De virusbestrijder waarschuwt organisaties om geen e-mailbijlagen met de boekhoudsoftware te openen, zelfs als ze van bekende partijen afkomstig zijn.