Cryptolocker.AC trójai


2016. január 6. 10:00

CH azonosító

CH-12906

Angol cím

Cryptolocker.AC trojan

Felfedezés dátuma

2016.01.04.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 2000, Windows 7, Windows NT, Windows Vista, Windows XP

Összefoglaló

A Cryptolocker.AC egy olyan trójai, amely a felhasználó egyes fájljait titkosítja, majd megpróbálja eladni a titkosítás feloldásához szükséges jelszót.

Leírás

Mikor aktiválódik létrehozza az alábbi állományokat:

  • %SystemDrive%Documents and SettingsAll UsersDesktopDECRYPT FILES.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopGET MY FILES.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopREAD NOW.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopread this file.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopREAD.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopREADME!!!.txt
  • %SystemDrive%Documents and SettingsAll UsersDesktopreadme.txt
  • %Temp%crjoker.html
  • %Temp%drvpci.exe
  • %Temp%GetYouFiles.txt
  • %Temp%imgdesktop.exe
  • %Temp%new.bat
  • %Temp%README!!!.txt
  • %Temp%windefrag.exe
  • %Temp%windrv.exe
  • %Temp%winpnp.exe

A kártevő létrehozza az alábbi regisztrációs kulcsokat, így automatikusan indul:

  • HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”winpnp” = “%Temp%winpnp.exe”
  • HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”drvpci” = “%Temp%drvpci.exe”
  • HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”windefrag” = “%Temp%windefrag.exe”

Adatokat küld a fertőzött számítógépről alábbi kiszolgálóhoz:  [http://]daapv.de/wp-content/plugins/libravatar-replace/statis[REMOVED]

majd törli az összes árnyékmásolatot a számítógépről.

Létrehozza az alábbi folyamatokat:

  • taskmgr
  • regedit

Az alábbi kiterjesztésű állományokat titkosítja:

  • .asp
  • .aspx
  • .csv
  • .db
  • .doc
  • .docm
  • .docx
  • .html
  • .java
  • .jpeg
  • .jpg
  • .mdb
  • .odt
  • .pdf
  • .php
  • .png
  • .ppt
  • .pptm
  • .pptx

A titkosított állományok kiterjesztését megváltoztatja a .crjoker-re.

Végül követeli a felhasználótól, hogy vásárolja meg a visszafejtéshez szükséges kulcsot.

Megoldás

  • Használjon offline biztonsági mentést.
  • Az eltávolításban segítséget nyújthat: Norton Power Eraser (NPE), Norton Bootable Recovery Tool

Támadás típusa

Ransomware

Hatás

Loss of confidentiality (Bizalmasság elvesztése)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: www.symantec.com

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-26466 – OpenSSH sérülékenysége
CVE-2025-26465 – OpenSSH sérülékenysége
CVE-2024-57727 – SimpleHelp Path Traversal sebezhetősége
CVE-2024-53704 – SonicOS SSLVPN Authentication Bypass sebezhetősége
CVE-2025-1094 – PostgreSQL sérülékenysége
CVE-2025-21377 – NTLM Hash Disclosure Spoofing sebezhetősége
CVE-2025-21194 – Microsoft Surface Security Feature Bypass sebezhetősége
CVE-2025-21418 – Windows Ancillary Function Driver for WinSock Elevation of Privilege sebezhetősége
CVE-2025-21391 – Windows Storage Elevation of Privilege sebezhetősége
Tovább a sérülékenységekhez »