Novi ransomware inficira računare preko Windows Remote Desktop Services

Opisi virusa, 27.10.2015, 01:00 AM

Novi ransomware inficira računare preko Windows Remote Desktop Services

Novi ransomware koji uz pomoć Windows Remote Desktop Services inficira računare i šifruje fajlove, traži od žrtava 4 bitcoina (čija je trenutna vrednost oko 1000 dolara) za dešifrovanje fajlova.

Ransomware su prvi videli korisnici u Bugarskoj i Grčkoj, koji su na internetu, tačnije na forumima Bleeping Computers potražili pomoć.

Istraživač Nejtan Skot analizirao je novi ransomware i prema onome što je on otkrio, napadači su ručno instalirali ransomware na svim inficiranim uređajima brute-force hakovanjem naloga korisnika na računarima na kojima su ostale otvorene Remote Desktop ili Terminal Services konekcije.

Kada steknu uporište na inficiranom sistemu, napadači pokreću izvršni fajl ransomwarea, koji najpre mapira sve lokalne i mrežne drajvove.

Pošto kreira virtualnu mapu svih drajvova i fajlova, ransomware traži fajlove sa određenim ekstenzijama koje će zatim šifrovati uz pomoć moćnog 2048-bitnog RSA ključa, slično kao što radi CryptoLocker, verovatno najpoznatiji i najopasniji kripto-malver.

Malver zatim u svakom folderu u kome se nalaze šifrovani fajlovi ostavlja fajl “help recover files.txt” koji sadrži informacije o tome kako platiti otkup za šifrovane fajlove.

Svim šifrovanim fajlovima je dodato “oorr” u nazivu.

Da bi se sprečila analiza i reverzni inženjering ransomware čisti iza sebe i uklanja sistemske logove događaja iz Applications, Security i System.

Neke od šifrovanih fajlova moguće je povratiti. Ako su neki od šifrovanih fajlova sinhronizovani i hostovani na cloud servisima kao što su Dropbox ili Google Drive, korisnici mogu da uklone prefiks oorr i da iskoriste ove servise da bi vratili fajlove na prethodne verzije.

Drugi način je oporavak Shadow volume kopija hard diska, koju ransomware ne briše, uz pomoć programa kao što je ShadowExplorer.

Na žalost, ovo neće vratiti sve, već samo neke od šifrovanih fajlova onim korisnicima koje nemaju namere da plate otkup, što je i opšta preporuka stručnjaka u ovakvim slučajevima. Plaćanjem se samo ohrabruju kriminalci da nastave sa svojim unosnim biznisom.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Novi, opasni trojanac koji krade lozinke širi se preko YouTube-a

Novi, opasni trojanac koji krade lozinke širi se preko YouTube-a

Istraživači bezbednosti iz CYFIRMA otkrili su novi malver nazvan Neptun RAT koji inficira Windows uređaje i krade lozinke. Malver koga bezbednosni ... Dalje

Novi malver koji krade lozinke širi se preko YouTube-a

Novi malver koji krade lozinke širi se preko YouTube-a

Novootkriveni malver za krađu informacija pod nazivom Arcane Stealer krade mnoštvo korisničkih podataka, uključujući podatke za prijavljivanje z... Dalje

Novi malver MassJacker krije se u piratskom softveru

Novi malver MassJacker krije se u piratskom softveru

Korisnici koji traže piratski softver mete su napada koji rezultiraju infekcijom novim malverom pod nazivom MassJacker. Prema nalazima kompanije Cybe... Dalje

Hakeri koriste Google Docs i Steam za kontrolu malvera koji kradu lozinke

Hakeri koriste Google Docs i Steam za kontrolu malvera koji kradu lozinke

Google Docs i druge pouzdane platforme se koriste za skrivenu kontrolu malvera koji kradu, lozinke, logove ćaskanja i osetljive podatke (infostealer... Dalje

BlackLock je nova opasna ransomware banda

BlackLock je nova opasna ransomware banda

Istraživači iz kompanije za sajber bezbednost Reliaqest upozoravaju na ekstremno opasnu ransomware bandu BlackLock koja se pojavila u martu prošle ... Dalje