Novi ransomware CrypVault šifruje i izoluje fajlove oponašajući antivirus

Opisi virusa, 08.04.2015, 08:30 AM

Novi ransomware CrypVault šifruje i izoluje fajlove oponašajući antivirus

Istraživači iz kompanije Trend Micro otkrili su novi kripto-ransomware nazvan CrypVault koji šifruje fajlove, i čini da oni izgledaju kao da ih je izolovao antivirus. Antivirusni softver obično smešta u karantin fajlove koji mogu da prouzorkuju štetu infiicanom sistemu.

Malver zatim traži otkup, da bi na kraju preuzeo malver koji krade informacije.

On dospeva na računare tako što korisnici na prevaru preuzmu i otvore maliciozni email atačment - JavaScript fajl koji preuzima sa svog severa za komandu i kontrolu (C&C server) četiri fajla - sam ranosmware, sDelete (Microsoftov Systeinternal alat koji će biti korišćen za brisanje fajlova a koji malver preimenuje u audiodg.exe), GnuPG (open source kriptografski alat koji će biti preimenovan u svchost.exe) i GnuPG library fajl (malver će ga preimenovati u iconv.dll). Preuzeti fajlovi se čuvaju u %UserTemp% folderu.

Posle pokretanja, malver instalira open source kriptografski alat GNU Private Guard (GnuPG) na zaraženom sistemu, koji započinje proces enkripcije. Ovaj fajl generiše RSA-1024 javni i privatni ključ koji se koriste za šifrovanje i dešifrovanje fajlova.

Malver traži fajlove sa ekstenzijama xls, doc, pdf, rtf, psd, dwg, cdr, cd, mdb, jpg, zip, 1cd, dbf, sqlite. Istovremeno, malver izbegava niz foldera da bi izbegao greške u radu sistema.

Posle šifrovanja, malver će promeniti sve šifrovane fajlove koji sada imaju dodatu *.vault ekstenziju u ikone katanca. Kada se otvori svaki zaključani i šifrovan fajl će prikazati obaveštenje o otkupu.

Detaljnije objašnjenje o tome kako platiti da bi fajlovi bili dešifrovani se prikazuje na desktopu inficiranog sistema.

Imajući u vidu da je obaveštenje o otkupu i sajt za podršku ranosmwareu na ruskom, ciljevi ove kampanje su očigledno korisnici sa ruskog govornog područja.

Malver uz pomoć sDelete briše ključne fajlove, secring.gpg, vaultkey.vlt i confclean.lst. sDelete može da piše preko obrisanih podataka na disku što otežava ili onemogućava oporavak obrisanih fajlova.

Ranosmware takođe preuzima i pokreće Browser Password Dump, hakerski alat koji može da izvlači lozinke sačuvane u brojnim popularnim web browserima (Firefox, IE, Chrome, CoolNovo, Opera, Safari, Flock, SeaMonkey, SRWare Iron, Comodo Dragon) koje šalje C&C serveru koji kontrolišu napadači.

Ransomwarei postaju veliki problem jer važne fajlove korisnika čine beskorisnim primoravajući tako ljude da plate za njihovo dešifrovanje. Ranosmwarea je sve više, pa stručnjaci savetuju korisnicima da redovno prave rezervne kopije svojih važnih fajlova.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver TrickBot greškom upozorava žrtve da su zaražene

Malver TrickBot greškom upozorava žrtve da su zaražene

Zloglasni malver TrickBot greškom upozorava žrtve da su zaražene i da treba da se obrate svom administratoru. TrickBot se najčešće širi preko ... Dalje

Za žrtve ransomwarea EvilQuest koji šifruje i krade fajlove sa macOS postoji besplatno rešenje

Za žrtve ransomwarea EvilQuest koji šifruje i krade fajlove sa macOS postoji besplatno rešenje

Loš kod ransomwarea ThiefQuest, koji isključivo inficira macOS uređaje, omogućava vraćanje šifrovanih fajlova, koji bi, da autori malvera nisu ... Dalje

Otkriven novi ransomware koji isključivo inficira macOS

Otkriven novi ransomware koji isključivo inficira macOS

Novi ransomware nazvan OSX.EvilQuest, otkriven ove nedelje, inficira isključivo macOS uređaje. Ono po čemu se razlikuje od drugih ransomwarea za ma... Dalje

Ransomware Sodinokibi (REvil) ima novu taktiku za izvlačenje novca od žrtava

Ransomware Sodinokibi (REvil) ima novu taktiku za izvlačenje novca od žrtava

Grupa koja stoji iza jednog od najuspešnijih ransomwarea sada skenira mreže kompanija kako bi pronašla podatke o platnim karticama, plaćanjima i s... Dalje

Sajber-kriminalci manipulišu Google pretragom da bi širili novi malver za Mac

Sajber-kriminalci manipulišu Google pretragom da bi širili novi malver za Mac

Većina korisnika prilikom pretraživanja interneta je svesna da postoje zlonamerni sajtovi na kojima treba biti oprezan. Ali, za pretraživače Goog... Dalje