Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Opisi virusa, 07.02.2017, 06:00 AM

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisni bezbednosni istraživač Kafeine.

CryptoShield se širi preko hakovanih ili kompromitovanih web sajtova. Kada korisnik poseti neki takav sajt, susrešće se sa exploit alatom EITest. EITest, JavaScript kod za napad koji se ubacuje u sajtove, pokreću posetioci sajtova. EITest učitava RIG exploit alat, koji zatim preuzima i instalira ransomware CryptoShield na računarima posetilaca.

Da bi inficirali računare, exploit alati koriste bezbednosne propuste zbog čega je važno da svi programi budu ažurirani. To posebno važi za programe koji imaju dodira sa online dokumentima i sajtovima, kao što su Adobe Flash i Reader, Oracle Java i Windows.

Kada se ransomware instalira na računaru, on generiše ID inficiranog računara i enkripcijski ključ koje šalje svom komandno-kontrolnom (C&C) serveru. Zatim na računaru traži fajlove koje treba da šifruje i započinje proces enkripcije. CryptoShield koristi AES-256 enkripciju, kodira naziv fajla sa ROT13, i zatim dodaje ekstenziju .CRYPTOSHIELD svakom šifrovanom fajlu. Na prime, fajl test.jpg kada bude šifrovan imaće novi naziv - grfg.wct.CRYPTOSHIELD.

U svakom folderu u kome se nalaze šifrovani fajlovi, CryptoShield ostavlja obaveštenja o otkupnini sa nazivima # RESTORING FILES #.HTML i # RESTORING FILES #.TXT.

Tokom procesa enkripcije, ransomware će isključiti Windows startup recovery i obrisati Windows Shadow Volume kopije.

CryptoShield će zatim prikazati lažno upozorenje u kome se tvrdi da postoji programska greška u Explorer.exe. Da je upozorenje lažno ukazuju pravopisne greške u tekstu, kao i čudan zahtev da se klikne na "Yes" u sledećem prozoru da bi explorer.exe proradio.

Kada žrtva klikne na OK u upozorenju, biće joj prikazan User Account Control zahtev sa pitanjem da li želi da omogući komandi "C:WindowsSysWOW64wbemWMIC.exe" process call create "C:UsersUserSmartScreen.exe" da se izvrši. To objašnjava zašto je prethodno bilo prikazano upozorenje - da bi se žrtva ubedila da klikne na Yes u UAC zahtevu.

Kada to uradi, ransomware će biti pokrenut ponovo i prikazaće HTML obaveštenje o otkupnini u kome se žrtvi objašnjava šta se dogodilo sa njenim fajlovima. U obaveštenju se nalazi ID infekcije, kao i tri email adrese koje žrtva može da koristi da bi kontaktirala autora malvera da bi dobila upustvo za plaćanje.

Trenutno nema besplatnog rešenja za dešifrovanje fajlova koje je šifrovao CryptoShield.


Prijavite se na našu mailing listu i primajte najnovije vesti (jednom dnevno) putem emaila svakog radnog dana besplatno:

Izdvojeno

Trojanac za Windows inficira Linux uređaje

Trojanac za Windows inficira Linux uređaje

Linux.Mirai je trenutno najrašireniji trojanac za Linux koji se proslavio prošle jeseni zbog masovnih DDoS napada na DNS provajder Dyn. Prva verzija... Dalje

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0 se širi sa hakovanih web sajtova

Ransomware CryptoShield 1.0, malver iz familije ransomwarea CryptoMix ili CryptMix, širi se pomoću EITesta i RIG exploit alata, upozorio je nezavisn... Dalje

Ransomware VirLocker se vratio, zarazniji nego ikad, ali ipak ima rešenja

Ransomware VirLocker se vratio, zarazniji nego ikad, ali ipak ima rešenja

Ransomware VirLocker se vratio sa novom i veoma zaraznom verzijom, ali stručnjaci kompanije Malwarebytes kažu da žrtve mogu da vrate svoje fajlove ... Dalje

Lažni program Netflix širi ransomware Netix koji inficira Windows 7 i Windows 10 računare

Lažni program Netflix širi ransomware Netix koji inficira Windows 7 i Windows 10 računare

Ransomware nazvan Netix (RANSOM_NETIX.A) inficira računare sa Windows 7 i Windows 10, ciljajući one koji koriste specijalne programe za pristup hako... Dalje

Mobilni ransomware Charger krade SMS poruke i kontakte

Mobilni ransomware Charger krade SMS poruke i kontakte

Stručnjaci kompanije Check Point otkrili su novi ransomware u Google Play prodavnici, nazvan Charger. Charger je pronađen u aplikaciji EnergyRescue.... Dalje