Polock.A trójai

CH azonosító

Angol cím

Felfedezés dátuma

Súlyosság

Érintett rendszerek

Érintett verziók

Windows

Összefoglaló

A Polock.A trójai a zsaroló, ransomware programok közé sorolható. A célja, hogy a felhasználók állományainak kompromittálásával pénzt csaljon ki a számítógépek tulajdonosaitól. A károkozó már jól ismert trükköket alkalmaz, és elsősorban a dokumentumok, képek, levelezést tartalmazó állományok, valamint az adatbázisok használhatatlanná tételével igyekszik nyomást gyakorolni.

Leírás

A Polock.A egy PowerShell script segítségével képes megfertőzni a rendszereket. Amikor ez megtörténik, akkor rögtön nekilát a fájlok titkosításának. Végül pedig megjeleníti a zsaroló üzenetét, amelyben több száz dollárt, illetve ennek megfelelő összegű Bitcoint követel a dekódoló kulcsért cserébe. 

A trójai fontos jellemzője, hogy az árnyékmásolatok és a Windows helyreállítási pontjainak törlésével megakadályozza, hogy a számítógépekről helyreállíthatóvá váljanak a kompromittált fájlok. Ezért a PC-kről készített rendszeres biztonsági mentéseknek jelentősen felértékelődik a szerepe.

1. Létrehozza a következő állományokat:
c:1locked.bmp 
c:1reflect.dll 
c:1t.dll 
%desktop%encrypted.htm 
%desktop%qwer.html –
%desktop%qwer2.html

2. Felkutatja az alábbi kiterjesztésekkel rendelkező fájlokat:
.ai
.crt
.csv
.db
.doc
.docm
.docx
.dotx
.gif
.jpeg
.jpg
.lnk
.mp3
.msi
.ods
.one
.ost
.p12
.pdf
.pem
.pps
.ppsx
.ppt
.pptx
.psd
.pst
.pub
.rar
.raw
.rtf
.tif
.txt
.vsdx
.wma
.xls
.xlsm
.xlsx
.xml
.zip

3. A fenti állományokat letitkosítja.
4. Megjelenít egy zsaroló üzenetet.
5. Törli az árnyékmásolatokat.
6. Törli a Windows által létrehozott helyreállítási pontokat.

Megoldás

• Készítsen offline biztonsági mentést.
• Frissítse az antivírus-szoftver adatbázisát a kártevő felismeréséhez és eltávolításához.
• Az eltávolításban segítséget nyújthat: Norton Power Eraser (NPE), Norton Bootable Recovery Tool

Támadás típusa

Hatás

Szükséges hozzáférés

Hivatkozások

Egyéb referencia: isbk.hu