Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Opisi virusa, 07.02.2017, 06:00 AM

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisni bezbednosni istraživač Kafeine.

CryptoShield se širi preko hakovanih ili kompromitovanih web sajtova. Kada korisnik poseti neki takav sajt, susrešće se sa exploit alatom EITest. EITest, JavaScript kod za napad koji se ubacuje u sajtove, pokreću posetioci sajtova. EITest učitava RIG exploit alat, koji zatim preuzima i instalira ransomware CryptoShield na računarima posetilaca.

Da bi inficirali računare, exploit alati koriste bezbednosne propuste zbog čega je važno da svi programi budu ažurirani. To posebno važi za programe koji imaju dodira sa online dokumentima i sajtovima, kao što su Adobe Flash i Reader, Oracle Java i Windows.

Kada se ransomware instalira na računaru, on generiše ID inficiranog računara i enkripcijski ključ koje šalje svom komandno-kontrolnom (C&C) serveru. Zatim na računaru traži fajlove koje treba da šifruje i započinje proces enkripcije. CryptoShield koristi AES-256 enkripciju, kodira naziv fajla sa ROT13, i zatim dodaje ekstenziju .CRYPTOSHIELD svakom šifrovanom fajlu. Na prime, fajl test.jpg kada bude šifrovan imaće novi naziv - grfg.wct.CRYPTOSHIELD.

U svakom folderu u kome se nalaze šifrovani fajlovi, CryptoShield ostavlja obaveštenja o otkupnini sa nazivima # RESTORING FILES #.HTML i # RESTORING FILES #.TXT.

Tokom procesa enkripcije, ransomware će isključiti Windows startup recovery i obrisati Windows Shadow Volume kopije.

CryptoShield će zatim prikazati lažno upozorenje u kome se tvrdi da postoji programska greška u Explorer.exe. Da je upozorenje lažno ukazuju pravopisne greške u tekstu, kao i čudan zahtev da se klikne na "Yes" u sledećem prozoru da bi explorer.exe proradio.

Kada žrtva klikne na OK u upozorenju, biće joj prikazan User Account Control zahtev sa pitanjem da li želi da omogući komandi "C:WindowsSysWOW64wbemWMIC.exe" process call create "C:UsersUserSmartScreen.exe" da se izvrši. To objašnjava zašto je prethodno bilo prikazano upozorenje - da bi se žrtva ubedila da klikne na Yes u UAC zahtevu.

Kada to uradi, ransomware će biti pokrenut ponovo i prikazaće HTML obaveštenje o otkupnini u kome se žrtvi objašnjava šta se dogodilo sa njenim fajlovima. U obaveštenju se nalazi ID infekcije, kao i tri email adrese koje žrtva može da koristi da bi kontaktirala autora malvera da bi dobila upustvo za plaćanje.

Trenutno nema besplatnog rešenja za dešifrovanje fajlova koje je šifrovao CryptoShield.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Ransomware se pretvara da je Windowsov sigurnosni skener da bi prevario korisnike da ga instaliraju

Ransomware se pretvara da je Windowsov sigurnosni skener da bi prevario korisnike da ga instaliraju

Pre nedelju dana otkriven je malver koji se pretvara da je Microsoftov sigurnosni skener. Namerno ili greškom, malver oštećuje fajlove žrtava. Ist... Dalje

Francuska policija krišom uklonila malver RETADUP sa 850000 zaraženih računara

Francuska policija krišom uklonila malver RETADUP sa 850000 zaraženih računara

Francuska Nacionalna žandarmerija objavila je juče da je više od 850000 računara širom sveta oslobođeno trenutno jednog od najraširenijeg malve... Dalje

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Malver GermanWiper briše podatke, ali ipak traži otkupninu za fajlove koje ne može da vrati

Prošla nedelja počela je loše za veći broj nemačkih kompanija koje je blokirao malver koji briše podatke i koji je u ime onih koji su ga širili... Dalje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware za Android koristi SMS spam poruke da bi inficirao uređaje

Novi ransomware koji inficira Android uređaje širi se slanjem tekstualnih poruka koje sadrže maliciozne linkove svima sa liste kontakata koja se na... Dalje

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Lažni Office 365 sajt inficira posetioce trojancem TrickBot sakrivenim u ažuriranje za Chrome i Firefox

Napadači su kreirali lažni Office 365 sajt koji distribuira trojanca TrickBot koji krade lozinke. Trojanac je sakriven u lažnim ažuriranjima za Ch... Dalje