Ransomcrypt.AM zsaroló kártevő

CH azonosító

CH-13222

Angol cím

Trojan.Ransomcrypt.AM

Felfedezés dátuma

2016.05.08.

Súlyosság

Közepes

Érintett rendszerek

Microsoft
Windows

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows NT, Windows Vista, Windows XP

Összefoglaló

A Ransomcrypt.AM trójai készítői némileg változtattak a taktikájukon. Ennek oka, hogy ezúttal nem pénzt vagy bitcoint követelnek azért, hogy a károkozójuk által titkosított, és ilyen módon használhatatlanná tett állományok helyreállíthatók legyenek, hanem ajándékutalványt próbálnak kicsalni a felhasználóktól. Ez a gyakorlatban azt jelenti, hogy a zsaroló program 400 dolláros ajándékutalvány vagy kuponkód küldésére szólítja fel a felhasználót. Ezt egy megadott e-mail címre kell továbbítani. A csalók azt állítják, hogy ha megkapják, amit szeretnének, akkor elárulják a dekódoló kulcsot. Persze erre ezúttal sincs semmi garancia, így a követelések teljesítése nem célszerű.

A Ransomcrypt.AM az Asztal háttérképének módosításával, illetve szöveges fájlok létrehozásával tudatja a felhasználóval azt, hogy mit is kell tenni a károk felszámolása érdekében.

Leírás

1. Létrehozza a következő állományokat:
%SystemDrive%Documents and Settings[felhasználónév]DesktopRead Me (How Decrypt) !!!!.txt
%SystemDrive%Documents and Settings[felhasználónév]Application DataWindowssvchost.exe
%SystemDrive%Documents and Settings[felhasználónév]newstyle.jpg

2. A regisztrációs adatbázist kiegészíti az alábbi bejegyzésekkel:
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionRun”Microsoft” = “%SystemDrive%Documents and Settings[felhasználónév]Application DataWindowssvchost.exe”
HKEY_CURRENT_USERSoftwareMicrosoftWindowsCurrentVersionPoliciesSystem”DisableTaskMgr” = dword:00000001

3. Egy kiterjesztéslista alapján felkutatja a számára érdekes állományokat.

4. A kiválasztott fájlokat titkosítja.

  • .txt
  • .wb2
  • .psd
  • .p7c
  • .p7b
  • .p12
  • .pfx
  • .pem
  • .crt
  • .cer
  • .der
  • .pl
  • .lua
  • .asp
  • .php
  • .incpas
  • .asm
  • .hpp
  • .h
  • .cpp
  • .c
  • .drf
  • .blend
  • .apj
  • .3ds
  • .dwg
  • .sda
  • .ps
  • .pat
  • .cmd
  • .bat
  • .class
  • .jar
  • .java
  • .fxg
  • .fhd
  • .fh
  • .svg
  • .bmp
  • .vbs
  • .png
  • .gif
  • .dxb
  • .drw
  • .design
  • .ddrw
  • .ddoc
  • .dcs
  • .csl
  • .csh
  • .cpi
  • .cgm
  • .cdx
  • .cdrw
  • .cdr6
  • .cdr5
  • .cdr4
  • .cdr3
  • .cdr
  • .awg
  • .ait
  • .ai
  • .agd1
  • .ycbcra
  • .x3f
  • .stx
  • .st8
  • .st7
  • .st6
  • .st5
  • .st4
  • .srw
  • .srf
  • .sr2
  • .sd1
  • .sd0
  • .rwz
  • .rwl
  • .rw2
  • .raw
  • .raf
  • .ra2
  • .ptx
  • .pef
  • .pcd
  • .orf
  • .nwb
  • .nrw
  • .nop
  • .nef
  • .ndd
  • .mrw
  • .mos
  • .mfw
  • .mef
  • .mdc
  • .kdc
  • .kc2
  • .iiq
  • .gry
  • .grey
  • .gray
  • .fpx
  • .fff
  • .exf
  • .erf
  • .dng
  • .dcr
  • .dc2
  • .crw
  • .craw
  • .cr2
  • .cmt
  • .cib
  • .ce2
  • .ce1
  • .arw
  • .3pr
  • .3fr
  • .mpg
  • .jpeg
  • .jpg
  • .mdb
  • .sqlitedb
  • .sqlite3
  • .sqlite
  • .sql
  • .sdf
  • .sav
  • .sas7bdat
  • .s3db
  • .rdb
  • .psafe3
  • .nyf
  • .nx2
  • .nx1
  • .nsh
  • .nsg
  • .nsf
  • .nsd
  • .ns4
  • .ns3
  • .ns2
  • .myd
  • .kpdx
  • .kdbx
  • .idx
  • .ibz
  • .ibd
  • .fdb
  • .erbsql
  • .db3
  • .dbf
  • .db-journal
  • .db
  • .cls
  • .bdb
  • .al
  • .adb
  • .backupdb
  • .bik
  • .backup
  • .bak
  • .bkp
  • .moneywell
  • .mmw
  • .ibank
  • .hbk
  • .ffd
  • .dgc
  • .ddd
  • .dac
  • .cfp
  • .cdf
  • .bpw
  • .bgt
  • .acr
  • .ac2
  • .ab4
  • .djvu
  • .pdf
  • .sxm
  • .odf
  • .std
  • .sxd
  • .otg
  • .sti
  • .sxi
  • .otp
  • .odg
  • .odp
  • .stc
  • .sxc
  • .ots
  • .ods
  • .sxg
  • .stw
  • .sxw
  • .odm
  • .oth
  • .ott
  • .odb
  • .rtf
  • .accdr
  • .accdt
  • .accde
  • .accdb
  • .sldm
  • .sldx
  • .ppsm
  • .ppsx
  • .ppam
  • .potm
  • .potx
  • .pptm
  • .pps
  • .pot
  • .xlw
  • .xll
  • .xlam
  • .xla
  • .xlsb
  • .xltm
  • .xltx
  • .xlsm
  • .xlm
  • .xlt
  • .xml
  • .dotm
  • .dotx
  • .docm
  • .dot
  • .txt
  • .py
  • .css
  • .js
  • .doc
  • .docx
  • .xls
  • .xlsx
  • .ppt
  • .pptx
  • .odt
  • .csv
  • .sln
  • .aspx
  • .html
  • .cs
  • .vb

5. Kapcsolódik egy távoli kiszolgálóhoz.

  • onlinebankofcypryn.biz

6. Megváltoztatja az Asztal háttérképét.

7. Minden olyan mappába, amelyben legalább egy fájlt kompromittált, létrehoz egy szöveges állományt. Ez a követeléseket tartalmazza.

Megoldás

Használjon offline biztonsági mentést.

Hivatkozások

Egyéb referencia: www.symantec.com
Egyéb referencia: isbk.hu