Novi ransomware CrypVault šifruje i izoluje fajlove oponašajući antivirus

Opisi virusa, 08.04.2015, 08:30 AM

Novi ransomware CrypVault šifruje i izoluje fajlove oponašajući antivirus

Istraživači iz kompanije Trend Micro otkrili su novi kripto-ransomware nazvan CrypVault koji šifruje fajlove, i čini da oni izgledaju kao da ih je izolovao antivirus. Antivirusni softver obično smešta u karantin fajlove koji mogu da prouzorkuju štetu infiicanom sistemu.

Malver zatim traži otkup, da bi na kraju preuzeo malver koji krade informacije.

On dospeva na računare tako što korisnici na prevaru preuzmu i otvore maliciozni email atačment - JavaScript fajl koji preuzima sa svog severa za komandu i kontrolu (C&C server) četiri fajla - sam ranosmware, sDelete (Microsoftov Systeinternal alat koji će biti korišćen za brisanje fajlova a koji malver preimenuje u audiodg.exe), GnuPG (open source kriptografski alat koji će biti preimenovan u svchost.exe) i GnuPG library fajl (malver će ga preimenovati u iconv.dll). Preuzeti fajlovi se čuvaju u %UserTemp% folderu.

Posle pokretanja, malver instalira open source kriptografski alat GNU Private Guard (GnuPG) na zaraženom sistemu, koji započinje proces enkripcije. Ovaj fajl generiše RSA-1024 javni i privatni ključ koji se koriste za šifrovanje i dešifrovanje fajlova.

Malver traži fajlove sa ekstenzijama xls, doc, pdf, rtf, psd, dwg, cdr, cd, mdb, jpg, zip, 1cd, dbf, sqlite. Istovremeno, malver izbegava niz foldera da bi izbegao greške u radu sistema.

Posle šifrovanja, malver će promeniti sve šifrovane fajlove koji sada imaju dodatu *.vault ekstenziju u ikone katanca. Kada se otvori svaki zaključani i šifrovan fajl će prikazati obaveštenje o otkupu.

Detaljnije objašnjenje o tome kako platiti da bi fajlovi bili dešifrovani se prikazuje na desktopu inficiranog sistema.

Imajući u vidu da je obaveštenje o otkupu i sajt za podršku ranosmwareu na ruskom, ciljevi ove kampanje su očigledno korisnici sa ruskog govornog područja.

Malver uz pomoć sDelete briše ključne fajlove, secring.gpg, vaultkey.vlt i confclean.lst. sDelete može da piše preko obrisanih podataka na disku što otežava ili onemogućava oporavak obrisanih fajlova.

Ranosmware takođe preuzima i pokreće Browser Password Dump, hakerski alat koji može da izvlači lozinke sačuvane u brojnim popularnim web browserima (Firefox, IE, Chrome, CoolNovo, Opera, Safari, Flock, SeaMonkey, SRWare Iron, Comodo Dragon) koje šalje C&C serveru koji kontrolišu napadači.

Ransomwarei postaju veliki problem jer važne fajlove korisnika čine beskorisnim primoravajući tako ljude da plate za njihovo dešifrovanje. Ranosmwarea je sve više, pa stručnjaci savetuju korisnicima da redovno prave rezervne kopije svojih važnih fajlova.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Novi malver sakriven u aplikaciji ''SpotifyMusicConverter'' inficira Mac računare

Novi malver sakriven u aplikaciji ''SpotifyMusicConverter'' inficira Mac računare

Mac računari su meta novog opasnog malvera nazvanog Cuckoo (Kukavica). Reč je o trojancu sakrivenom u legitimnom softveru kao što je Spotify, koji ... Dalje

Lažni cheat-ovi šire malver među gejmerima

Lažni cheat-ovi šire malver među gejmerima

Istraživači malvera iz kompanije McAfee otkrili su novi malver za krađu informacija koji je povezan sa malverom Redline. Malver se predstavlja se k... Dalje

Ruski backdoor u mrežama kompanija u istočnoj Evropi

Ruski backdoor u mrežama kompanija u istočnoj Evropi

Istraživači iz finske kompanije za sajber bezbednost WithSecure detaljno su opisali malo poznati ruski backdoor malver koji se koristi u napadima na... Dalje

Desetine hiljada WordPress sajtova zaraženo novim malverom Sign1

Desetine hiljada WordPress sajtova zaraženo novim malverom Sign1

Malver „Sign1“ inficira WordPress veb sajtove, i preusmerava posetioce na prevare ili ih bombarduje reklamama, upozorili su istraživači ... Dalje

Kako je malver Inferno Drainer ukrao više od 80 miliona dolara od 136.000 korisnika kriptovaluta

Kako je malver Inferno Drainer ukrao više od 80 miliona dolara od 136.000 korisnika kriptovaluta

Kao što privlači milione ljudi širom sveta, tako svet kriptovaluta privlači i sajber kriminalce koji pokušavaju da iskoriste neiskustvo i neznanj... Dalje