Összefoglaló
A Polock.A trójai a zsaroló, ransomware programok közé sorolható. A célja, hogy a felhasználók állományainak kompromittálásával pénzt csaljon ki a számítógépek tulajdonosaitól. A károkozó már jól ismert trükköket alkalmaz, és elsősorban a dokumentumok, képek, levelezést tartalmazó állományok, valamint az adatbázisok használhatatlanná tételével igyekszik nyomást gyakorolni.
Leírás
A Polock.A egy PowerShell script segítségével képes megfertőzni a rendszereket. Amikor ez megtörténik, akkor rögtön nekilát a fájlok titkosításának. Végül pedig megjeleníti a zsaroló üzenetét, amelyben több száz dollárt, illetve ennek megfelelő összegű Bitcoint követel a dekódoló kulcsért cserébe.
A trójai fontos jellemzője, hogy az árnyékmásolatok és a Windows helyreállítási pontjainak törlésével megakadályozza, hogy a számítógépekről helyreállíthatóvá váljanak a kompromittált fájlok. Ezért a PC-kről készített rendszeres biztonsági mentéseknek jelentősen felértékelődik a szerepe.
1. Létrehozza a következő állományokat:
c:1locked.bmp
c:1reflect.dll
c:1t.dll
%desktop%encrypted.htm
%desktop%qwer.html –
%desktop%qwer2.html
2. Felkutatja az alábbi kiterjesztésekkel rendelkező fájlokat:
.ai
.crt
.csv
.db
.doc
.docm
.docx
.dotx
.gif
.jpeg
.jpg
.lnk
.mp3
.msi
.ods
.one
.ost
.p12
.pdf
.pem
.pps
.ppsx
.ppt
.pptx
.psd
.pst
.pub
.rar
.raw
.rtf
.tif
.txt
.vsdx
.wma
.xls
.xlsm
.xlsx
.xml
.zip
3. A fenti állományokat letitkosítja.
4. Megjelenít egy zsaroló üzenetet.
5. Törli az árnyékmásolatokat.
6. Törli a Windows által létrehozott helyreállítási pontokat.
Megoldás
- Készítsen offline biztonsági mentést.
- Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.
- Az eltávolításban segítséget nyújthat: Norton Power Eraser (NPE), Norton Bootable Recovery Tool
Támadás típusa
RansomwareHatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Egyéb referencia: isbk.hu