Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Opisi virusa, 07.02.2017, 06:00 AM

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisni bezbednosni istraživač Kafeine.

CryptoShield se širi preko hakovanih ili kompromitovanih web sajtova. Kada korisnik poseti neki takav sajt, susrešće se sa exploit alatom EITest. EITest, JavaScript kod za napad koji se ubacuje u sajtove, pokreću posetioci sajtova. EITest učitava RIG exploit alat, koji zatim preuzima i instalira ransomware CryptoShield na računarima posetilaca.

Da bi inficirali računare, exploit alati koriste bezbednosne propuste zbog čega je važno da svi programi budu ažurirani. To posebno važi za programe koji imaju dodira sa online dokumentima i sajtovima, kao što su Adobe Flash i Reader, Oracle Java i Windows.

Kada se ransomware instalira na računaru, on generiše ID inficiranog računara i enkripcijski ključ koje šalje svom komandno-kontrolnom (C&C) serveru. Zatim na računaru traži fajlove koje treba da šifruje i započinje proces enkripcije. CryptoShield koristi AES-256 enkripciju, kodira naziv fajla sa ROT13, i zatim dodaje ekstenziju .CRYPTOSHIELD svakom šifrovanom fajlu. Na prime, fajl test.jpg kada bude šifrovan imaće novi naziv - grfg.wct.CRYPTOSHIELD.

U svakom folderu u kome se nalaze šifrovani fajlovi, CryptoShield ostavlja obaveštenja o otkupnini sa nazivima # RESTORING FILES #.HTML i # RESTORING FILES #.TXT.

Tokom procesa enkripcije, ransomware će isključiti Windows startup recovery i obrisati Windows Shadow Volume kopije.

CryptoShield će zatim prikazati lažno upozorenje u kome se tvrdi da postoji programska greška u Explorer.exe. Da je upozorenje lažno ukazuju pravopisne greške u tekstu, kao i čudan zahtev da se klikne na "Yes" u sledećem prozoru da bi explorer.exe proradio.

Kada žrtva klikne na OK u upozorenju, biće joj prikazan User Account Control zahtev sa pitanjem da li želi da omogući komandi "C:WindowsSysWOW64wbemWMIC.exe" process call create "C:UsersUserSmartScreen.exe" da se izvrši. To objašnjava zašto je prethodno bilo prikazano upozorenje - da bi se žrtva ubedila da klikne na Yes u UAC zahtevu.

Kada to uradi, ransomware će biti pokrenut ponovo i prikazaće HTML obaveštenje o otkupnini u kome se žrtvi objašnjava šta se dogodilo sa njenim fajlovima. U obaveštenju se nalazi ID infekcije, kao i tri email adrese koje žrtva može da koristi da bi kontaktirala autora malvera da bi dobila upustvo za plaćanje.

Trenutno nema besplatnog rešenja za dešifrovanje fajlova koje je šifrovao CryptoShield.