De meeste ransomware versleutelt bestanden zodra het op een computer actief is, maar een recent ontdekt exemplaar blijkt zich anders te gedragen als het om de computer van een boekhouder of boekhoudafdeling van een bedrijf gaat. Dat laat het Russische anti-virusbedrijf Kaspersky Lab weten.

De ransomware in kwestie wordt Shade genoemd en is vooral in Rusland actief. Zodra Shade een computer heeft besmet controleert de ransomware eerst of de computer voor de boekhouding wordt gebruikt. Is dit niet het geval, dan worden de bestanden versleuteld. Gaat het echter om een boekhoudcomputer, dan zal Shade geen bestanden versleutelen maar een aangepaste versie van programma TeamViewer installeren. Daarmee hebben de aanvallers volledige controle over de computer.

Volgens Kaspersky Lab gebruiken de aanvallers deze toegang om het vermogen van het slachtoffer in kaart te brengen. Dit kan bijvoorbeeld worden gebruikt voor het bepalen van het losgeldbedrag als er alsnog wordt besloten om bestanden te versleutelen of laat de aanvallers op een andere manier geld aan het slachtoffer verdienen.