Novi ransomware inficira računare preko Windows Remote Desktop Services

Opisi virusa, 27.10.2015, 01:00 AM

Novi ransomware inficira računare preko Windows Remote Desktop Services

Novi ransomware koji uz pomoć Windows Remote Desktop Services inficira računare i šifruje fajlove, traži od žrtava 4 bitcoina (čija je trenutna vrednost oko 1000 dolara) za dešifrovanje fajlova.

Ransomware su prvi videli korisnici u Bugarskoj i Grčkoj, koji su na internetu, tačnije na forumima Bleeping Computers potražili pomoć.

Istraživač Nejtan Skot analizirao je novi ransomware i prema onome što je on otkrio, napadači su ručno instalirali ransomware na svim inficiranim uređajima brute-force hakovanjem naloga korisnika na računarima na kojima su ostale otvorene Remote Desktop ili Terminal Services konekcije.

Kada steknu uporište na inficiranom sistemu, napadači pokreću izvršni fajl ransomwarea, koji najpre mapira sve lokalne i mrežne drajvove.

Pošto kreira virtualnu mapu svih drajvova i fajlova, ransomware traži fajlove sa određenim ekstenzijama koje će zatim šifrovati uz pomoć moćnog 2048-bitnog RSA ključa, slično kao što radi CryptoLocker, verovatno najpoznatiji i najopasniji kripto-malver.

Malver zatim u svakom folderu u kome se nalaze šifrovani fajlovi ostavlja fajl “help recover files.txt” koji sadrži informacije o tome kako platiti otkup za šifrovane fajlove.

Svim šifrovanim fajlovima je dodato “oorr” u nazivu.

Da bi se sprečila analiza i reverzni inženjering ransomware čisti iza sebe i uklanja sistemske logove događaja iz Applications, Security i System.

Neke od šifrovanih fajlova moguće je povratiti. Ako su neki od šifrovanih fajlova sinhronizovani i hostovani na cloud servisima kao što su Dropbox ili Google Drive, korisnici mogu da uklone prefiks oorr i da iskoriste ove servise da bi vratili fajlove na prethodne verzije.

Drugi način je oporavak Shadow volume kopija hard diska, koju ransomware ne briše, uz pomoć programa kao što je ShadowExplorer.

Na žalost, ovo neće vratiti sve, već samo neke od šifrovanih fajlova onim korisnicima koje nemaju namere da plate otkup, što je i opšta preporuka stručnjaka u ovakvim slučajevima. Plaćanjem se samo ohrabruju kriminalci da nastave sa svojim unosnim biznisom.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver FakeBat se širi preko Google oglasa, lažnih ažuriranja pretraživača i društvenih mreža

Malver FakeBat se širi preko Google oglasa, lažnih ažuriranja pretraživača i društvenih mreža

Malver FakeBat, takođe poznat i pod imenima EugenLoader i PaykLoader, je trenutno jedan od najrasprostranjenijih malvera iz grupe tzv. „loadera... Dalje

Malver StrelaStealer krade lozinke iz Mozilla Thunderbirda i Outlooka

Malver StrelaStealer krade lozinke iz Mozilla Thunderbirda i Outlooka

Tim za istraživanje pretnji SonicWall Capture Labsa upozorava na napade u kojima se koristi malver StrelaStealer koji krade lozinke. Zanimljivo je da... Dalje

Novi malver ''Poseidon'' inficira Mac računare preko lažnih Google oglasa

Novi malver ''Poseidon'' inficira Mac računare preko lažnih Google oglasa

Istraživači iz Malwarebytes Laba upozorili su na novu kampanju koju je njen kreator nazvao „Posejdon“, čije su mete korisnici Mac raču... Dalje

Hakovani sajtovi inficiraju posetioce novim Windows backdoorom BadSpace

Hakovani sajtovi inficiraju posetioce novim Windows backdoorom BadSpace

Hakovani veb sajtovi se koriste za isporuku Windows backdoora pod nazivom BadSpace pod maskom lažnih ažuriranja pretraživača. Napadači koriste &b... Dalje

Malver Noodle RAT napada Windows i Linux sisteme

Malver Noodle RAT napada Windows i Linux sisteme

Gotovo deceniju, različite kineske hakerske grupe koristile su malver koji je pogrešno klasifikovan kao varijanta drugog malvera, priznali su struč... Dalje