Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Opisi virusa, 07.02.2017, 06:00 AM

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisni bezbednosni istraživač Kafeine.

CryptoShield se širi preko hakovanih ili kompromitovanih web sajtova. Kada korisnik poseti neki takav sajt, susrešće se sa exploit alatom EITest. EITest, JavaScript kod za napad koji se ubacuje u sajtove, pokreću posetioci sajtova. EITest učitava RIG exploit alat, koji zatim preuzima i instalira ransomware CryptoShield na računarima posetilaca.

Da bi inficirali računare, exploit alati koriste bezbednosne propuste zbog čega je važno da svi programi budu ažurirani. To posebno važi za programe koji imaju dodira sa online dokumentima i sajtovima, kao što su Adobe Flash i Reader, Oracle Java i Windows.

Kada se ransomware instalira na računaru, on generiše ID inficiranog računara i enkripcijski ključ koje šalje svom komandno-kontrolnom (C&C) serveru. Zatim na računaru traži fajlove koje treba da šifruje i započinje proces enkripcije. CryptoShield koristi AES-256 enkripciju, kodira naziv fajla sa ROT13, i zatim dodaje ekstenziju .CRYPTOSHIELD svakom šifrovanom fajlu. Na prime, fajl test.jpg kada bude šifrovan imaće novi naziv - grfg.wct.CRYPTOSHIELD.

U svakom folderu u kome se nalaze šifrovani fajlovi, CryptoShield ostavlja obaveštenja o otkupnini sa nazivima # RESTORING FILES #.HTML i # RESTORING FILES #.TXT.

Tokom procesa enkripcije, ransomware će isključiti Windows startup recovery i obrisati Windows Shadow Volume kopije.

CryptoShield će zatim prikazati lažno upozorenje u kome se tvrdi da postoji programska greška u Explorer.exe. Da je upozorenje lažno ukazuju pravopisne greške u tekstu, kao i čudan zahtev da se klikne na "Yes" u sledećem prozoru da bi explorer.exe proradio.

Kada žrtva klikne na OK u upozorenju, biće joj prikazan User Account Control zahtev sa pitanjem da li želi da omogući komandi "C:WindowsSysWOW64wbemWMIC.exe" process call create "C:UsersUserSmartScreen.exe" da se izvrši. To objašnjava zašto je prethodno bilo prikazano upozorenje - da bi se žrtva ubedila da klikne na Yes u UAC zahtevu.

Kada to uradi, ransomware će biti pokrenut ponovo i prikazaće HTML obaveštenje o otkupnini u kome se žrtvi objašnjava šta se dogodilo sa njenim fajlovima. U obaveštenju se nalazi ID infekcije, kao i tri email adrese koje žrtva može da koristi da bi kontaktirala autora malvera da bi dobila upustvo za plaćanje.

Trenutno nema besplatnog rešenja za dešifrovanje fajlova koje je šifrovao CryptoShield.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Ransomware GIBON se širi preko spam emailova

Ransomware GIBON se širi preko spam emailova

Istraživač iz firme ProofPoint Metju Mesa otkrio je prošle nedelje novi ransomware nazvan GIBON koji se trenutno širi preko spam emailova sa malic... Dalje

Novi trojanac Silence napada banke

Novi trojanac Silence napada banke

Stručnjaci Kaspersky Laba otkrili su novog trojanca koji služi kao pomoć u sajber pljačkama banaka u Rusiji, Jermeniji i Maleziji. Trojanac je naz... Dalje

Neke žrtve ransomwarea Bad Rabbit mogu spasiti svoje fajlove baz plaćanja otkupa

Neke žrtve ransomwarea Bad Rabbit mogu spasiti svoje fajlove baz plaćanja otkupa

Neke žrtve ransomwarea Bad Rabbit mogle bi spasiti svoje zarobljene fajlove zbog grešaka koje su napravili autori malvera. Greške su otkrili istra... Dalje

Novi ransomware Bad Rabbit hara Evropom

Novi ransomware Bad Rabbit hara Evropom

Novi ransomware nazvan Bad Rabbit se kao požar širi evropskim zemljama, u kojima napada računare kako u državnim institucijama, tako i u privatnim... Dalje

LokiBot: I trojanac i ransomware u jednom Android malveru

LokiBot: I trojanac i ransomware u jednom Android malveru

Stručnjaci iz SfyLabsa otkrili su novog Android bankarskog trojanca nazvanog LokiBt koji se pretvara u ransomware i zaključava telefone korisnika ka... Dalje