Novi ransomware CrypVault šifruje i izoluje fajlove oponašajući antivirus

Opisi virusa, 08.04.2015, 08:30 AM

Istraživači iz kompanije Trend Micro otkrili su novi kripto-ransomware nazvan CrypVault koji šifruje fajlove, i čini da oni izgledaju kao da ih je izolovao antivirus. Antivirusni softver obično smešta u karantin fajlove koji mogu da prouzorkuju štetu infiicanom sistemu.

Malver zatim traži otkup, da bi na kraju preuzeo malver koji krade informacije.

On dospeva na računare tako što korisnici na prevaru preuzmu i otvore maliciozni email atačment - JavaScript fajl koji preuzima sa svog severa za komandu i kontrolu (C&C server) četiri fajla - sam ranosmware, sDelete (Microsoftov Systeinternal alat koji će biti korišćen za brisanje fajlova a koji malver preimenuje u audiodg.exe), GnuPG (open source kriptografski alat koji će biti preimenovan u svchost.exe) i GnuPG library fajl (malver će ga preimenovati u iconv.dll). Preuzeti fajlovi se čuvaju u %UserTemp% folderu.

Posle pokretanja, malver instalira open source kriptografski alat GNU Private Guard (GnuPG) na zaraženom sistemu, koji započinje proces enkripcije. Ovaj fajl generiše RSA-1024 javni i privatni ključ koji se koriste za šifrovanje i dešifrovanje fajlova.

Malver traži fajlove sa ekstenzijama xls, doc, pdf, rtf, psd, dwg, cdr, cd, mdb, jpg, zip, 1cd, dbf, sqlite. Istovremeno, malver izbegava niz foldera da bi izbegao greške u radu sistema.

Posle šifrovanja, malver će promeniti sve šifrovane fajlove koji sada imaju dodatu *.vault ekstenziju u ikone katanca. Kada se otvori svaki zaključani i šifrovan fajl će prikazati obaveštenje o otkupu.

Detaljnije objašnjenje o tome kako platiti da bi fajlovi bili dešifrovani se prikazuje na desktopu inficiranog sistema.

Imajući u vidu da je obaveštenje o otkupu i sajt za podršku ranosmwareu na ruskom, ciljevi ove kampanje su očigledno korisnici sa ruskog govornog područja.

Malver uz pomoć sDelete briše ključne fajlove, secring.gpg, vaultkey.vlt i confclean.lst. sDelete može da piše preko obrisanih podataka na disku što otežava ili onemogućava oporavak obrisanih fajlova.

Ranosmware takođe preuzima i pokreće Browser Password Dump, hakerski alat koji može da izvlači lozinke sačuvane u brojnim popularnim web browserima (Firefox, IE, Chrome, CoolNovo, Opera, Safari, Flock, SeaMonkey, SRWare Iron, Comodo Dragon) koje šalje C&C serveru koji kontrolišu napadači.

Ransomwarei postaju veliki problem jer važne fajlove korisnika čine beskorisnim primoravajući tako ljude da plate za njihovo dešifrovanje. Ranosmwarea je sve više, pa stručnjaci savetuju korisnicima da redovno prave rezervne kopije svojih važnih fajlova.