Novi ransomware inficira računare preko Windows Remote Desktop Services

Opisi virusa, 27.10.2015, 01:00 AM

Novi ransomware inficira računare preko Windows Remote Desktop Services

Novi ransomware koji uz pomoć Windows Remote Desktop Services inficira računare i šifruje fajlove, traži od žrtava 4 bitcoina (čija je trenutna vrednost oko 1000 dolara) za dešifrovanje fajlova.

Ransomware su prvi videli korisnici u Bugarskoj i Grčkoj, koji su na internetu, tačnije na forumima Bleeping Computers potražili pomoć.

Istraživač Nejtan Skot analizirao je novi ransomware i prema onome što je on otkrio, napadači su ručno instalirali ransomware na svim inficiranim uređajima brute-force hakovanjem naloga korisnika na računarima na kojima su ostale otvorene Remote Desktop ili Terminal Services konekcije.

Kada steknu uporište na inficiranom sistemu, napadači pokreću izvršni fajl ransomwarea, koji najpre mapira sve lokalne i mrežne drajvove.

Pošto kreira virtualnu mapu svih drajvova i fajlova, ransomware traži fajlove sa određenim ekstenzijama koje će zatim šifrovati uz pomoć moćnog 2048-bitnog RSA ključa, slično kao što radi CryptoLocker, verovatno najpoznatiji i najopasniji kripto-malver.

Malver zatim u svakom folderu u kome se nalaze šifrovani fajlovi ostavlja fajl “help recover files.txt” koji sadrži informacije o tome kako platiti otkup za šifrovane fajlove.

Svim šifrovanim fajlovima je dodato “oorr” u nazivu.

Da bi se sprečila analiza i reverzni inženjering ransomware čisti iza sebe i uklanja sistemske logove događaja iz Applications, Security i System.

Neke od šifrovanih fajlova moguće je povratiti. Ako su neki od šifrovanih fajlova sinhronizovani i hostovani na cloud servisima kao što su Dropbox ili Google Drive, korisnici mogu da uklone prefiks oorr i da iskoriste ove servise da bi vratili fajlove na prethodne verzije.

Drugi način je oporavak Shadow volume kopija hard diska, koju ransomware ne briše, uz pomoć programa kao što je ShadowExplorer.

Na žalost, ovo neće vratiti sve, već samo neke od šifrovanih fajlova onim korisnicima koje nemaju namere da plate otkup, što je i opšta preporuka stručnjaka u ovakvim slučajevima. Plaćanjem se samo ohrabruju kriminalci da nastave sa svojim unosnim biznisom.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Malver TrickBot greškom upozorava žrtve da su zaražene

Malver TrickBot greškom upozorava žrtve da su zaražene

Zloglasni malver TrickBot greškom upozorava žrtve da su zaražene i da treba da se obrate svom administratoru. TrickBot se najčešće širi preko ... Dalje

Za žrtve ransomwarea EvilQuest koji šifruje i krade fajlove sa macOS postoji besplatno rešenje

Za žrtve ransomwarea EvilQuest koji šifruje i krade fajlove sa macOS postoji besplatno rešenje

Loš kod ransomwarea ThiefQuest, koji isključivo inficira macOS uređaje, omogućava vraćanje šifrovanih fajlova, koji bi, da autori malvera nisu ... Dalje

Otkriven novi ransomware koji isključivo inficira macOS

Otkriven novi ransomware koji isključivo inficira macOS

Novi ransomware nazvan OSX.EvilQuest, otkriven ove nedelje, inficira isključivo macOS uređaje. Ono po čemu se razlikuje od drugih ransomwarea za ma... Dalje

Ransomware Sodinokibi (REvil) ima novu taktiku za izvlačenje novca od žrtava

Ransomware Sodinokibi (REvil) ima novu taktiku za izvlačenje novca od žrtava

Grupa koja stoji iza jednog od najuspešnijih ransomwarea sada skenira mreže kompanija kako bi pronašla podatke o platnim karticama, plaćanjima i s... Dalje

Sajber-kriminalci manipulišu Google pretragom da bi širili novi malver za Mac

Sajber-kriminalci manipulišu Google pretragom da bi širili novi malver za Mac

Većina korisnika prilikom pretraživanja interneta je svesna da postoje zlonamerni sajtovi na kojima treba biti oprezan. Ali, za pretraživače Goog... Dalje