Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Opisi virusa, 07.02.2017, 06:00 AM

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisni bezbednosni istraživač Kafeine.

CryptoShield se širi preko hakovanih ili kompromitovanih web sajtova. Kada korisnik poseti neki takav sajt, susrešće se sa exploit alatom EITest. EITest, JavaScript kod za napad koji se ubacuje u sajtove, pokreću posetioci sajtova. EITest učitava RIG exploit alat, koji zatim preuzima i instalira ransomware CryptoShield na računarima posetilaca.

Da bi inficirali računare, exploit alati koriste bezbednosne propuste zbog čega je važno da svi programi budu ažurirani. To posebno važi za programe koji imaju dodira sa online dokumentima i sajtovima, kao što su Adobe Flash i Reader, Oracle Java i Windows.

Kada se ransomware instalira na računaru, on generiše ID inficiranog računara i enkripcijski ključ koje šalje svom komandno-kontrolnom (C&C) serveru. Zatim na računaru traži fajlove koje treba da šifruje i započinje proces enkripcije. CryptoShield koristi AES-256 enkripciju, kodira naziv fajla sa ROT13, i zatim dodaje ekstenziju .CRYPTOSHIELD svakom šifrovanom fajlu. Na prime, fajl test.jpg kada bude šifrovan imaće novi naziv - grfg.wct.CRYPTOSHIELD.

U svakom folderu u kome se nalaze šifrovani fajlovi, CryptoShield ostavlja obaveštenja o otkupnini sa nazivima # RESTORING FILES #.HTML i # RESTORING FILES #.TXT.

Tokom procesa enkripcije, ransomware će isključiti Windows startup recovery i obrisati Windows Shadow Volume kopije.

CryptoShield će zatim prikazati lažno upozorenje u kome se tvrdi da postoji programska greška u Explorer.exe. Da je upozorenje lažno ukazuju pravopisne greške u tekstu, kao i čudan zahtev da se klikne na "Yes" u sledećem prozoru da bi explorer.exe proradio.

Kada žrtva klikne na OK u upozorenju, biće joj prikazan User Account Control zahtev sa pitanjem da li želi da omogući komandi "C:WindowsSysWOW64wbemWMIC.exe" process call create "C:UsersUserSmartScreen.exe" da se izvrši. To objašnjava zašto je prethodno bilo prikazano upozorenje - da bi se žrtva ubedila da klikne na Yes u UAC zahtevu.

Kada to uradi, ransomware će biti pokrenut ponovo i prikazaće HTML obaveštenje o otkupnini u kome se žrtvi objašnjava šta se dogodilo sa njenim fajlovima. U obaveštenju se nalazi ID infekcije, kao i tri email adrese koje žrtva može da koristi da bi kontaktirala autora malvera da bi dobila upustvo za plaćanje.

Trenutno nema besplatnog rešenja za dešifrovanje fajlova koje je šifrovao CryptoShield.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Novi Android malver Catelites Bot oponaša 2200 aplikacija banaka

Novi Android malver Catelites Bot oponaša 2200 aplikacija banaka

Novi dan, novi Android malver. Istraživači iz kompanija SfyLabs i Avast zajedno su analizirali novi malver nazvan Catelites Bot koji može da lažir... Dalje

Novi ransomware GlobeImposter se širi pomoću spam emailova

Novi ransomware GlobeImposter se širi pomoću spam emailova

Ako dobijete email sa fotografijom, naslovljen sa "Emailing: IMG_20171221_", oprezno, moguće je da je reč o emailu koji je poslat sa zadatkom da inf... Dalje

Malver Digmine se širi preko Facebook Messengera

Malver Digmine se širi preko Facebook Messengera

Korisnici Facebooka u nekoliko zemalja ciljevi su kampanje u kojoj se distribuira novi malver nazvan Digmine koji instalira majner kriptovalute Monero... Dalje

Novi ransomware FileSpider se širi Balkanom, na meti korisnici u Srbiji, BIH i Hrvatskoj

Novi ransomware FileSpider se širi Balkanom, na meti korisnici u Srbiji, BIH i Hrvatskoj

Korisnici interneta u Srbiji, Bosni i Hercegovini i Hrvatskoj ciljevi su novog ransomwarea nazvanog FileSpider koji se širi preko spam emailova koji ... Dalje

Malver Troubleshooter plaši korisnike ''plavim ekranom smrti'' - evo besplatnog rešenja

Malver Troubleshooter plaši korisnike ''plavim ekranom smrti'' - evo besplatnog rešenja

Zloglasni plavi ekran smrti (BSOD) je jedan od najstrašnijih prizora za korisnike Windowsa. Očigledno na to računaju autori novog malvera koji prik... Dalje