Trojan.Ransomcrypt.Q


2015. március 13. 10:06

CH azonosító

CH-12068

Angol cím

Trojan.Ransomcrypt.Q

Felfedezés dátuma

2015.03.09.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

Trojan.Ransomcrypt.Q egy trójai, ami titkosítja a fertőzött számítógép fájljait, majd a visszafejtésükhöz váltságdíjat kér.

Leírás

Amikor aktiválódik létrehozza az alábbi állományokat, az automatikus indulás érdekében:

  • %UserProfile%Start MenuProgramsStartup[ORIGINAL FILE NAME].exe
  • %UserProfile%Start MenuProgramsStartupbytor.bmp

A trójai módosítja az alábbi regisztrációs bejegyzést a desktop beállítások megváltoztatására:

  • HKEY_CURRENT_USERControl PanelDesktop”Wallpaper” = “%UserProfile%Application Databytor.bmp”

A következőkben a trójai titkosítja az alábbi kiterjesztésekkel ellátott fájlokat:

  • 3fr
  • .accdb
  • .ai
  • .arw
  • .bay
  • .cdr
  • .cer
  • .cr2
  • .crt
  • .crw
  • .dbf
  • .dcr
  • .der
  • .dng
  • .doc
  • .docm
  • .docx
  • .dwg
  • .dxf
  • .dxg
  • .eps
  • .erf
  • .indd
  • .jpe
  • .jpg
  • .kdc
  • .mdb
  • .mdf
  • .mef
  • .mrw
  • .nef
  • .nrw
  • .odb
  • .odm
  • .odp
  • .ods
  • .odt
  • .orf
  • .p12
  • .p7b
  • .p7c
  • .pdd
  • .pef
  • .pem
  • .pfx
  • .ppt
  • .pptm
  • .pptx
  • .psd
  • .pst
  • .ptx
  • .r3d
  • .raf
  • .raw
  • .rtf
  • .rw2
  • .rwl
  • .srf
  • .srw
  • .wb2
  • .wpd
  • .wps
  • .xlk
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx

A trójai az alábbi módon nevezi át a titkosított fájlokat:

  • [ORIGINAL FILE NAME].id-[RANDOM 10-DIGIT NUMBER]_decode@india.com

Ezek után törli az eredeti állományokat.

Majd a program megpróbál csatlakozni az alábbi távoli kiszolgálókhoz:

  • http://]www.fuck-isil.com/close/scrip[REMOVED]
  • [http://]kapustakapaet.com/close/scrip[REMOVED]
  • [http://]www.ahalaymahalay.com/close/scrip[REMOVED]
  • [http://]martyanovdrweb.com/close/scrip[REMOVED]
  • [http://]www.decryptindia.com/close/scrip[REMOVED]

Végül megváltoztatja az asztal hátterét, amelyen a további instrukciók találhatóak.

Megoldás

  • Készítsen offline biztonsági mentést
  • Tiltsa le a leírásban említett domaineket
  • Használjon naprakész vírusírtó szoftvert

Támadás típusa

Crypthographical (Titkosítás)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: www.symantec.com

Legfrissebb sérülékenységek
CVE-2025-59505 – Windows Smart Card Reader Elevation of Privilege sérülékenysége
CVE-2025-59511 – Windows WLAN Service Elevation of Privilege sérülékenysége
CVE-2021-26828 – OpenPLC ScadaBR Unrestricted Upload of File with Dangerous Type sérülékenysége
CVE‑2025‑13486 – WordPress Advanced Custom Fields: Extended plugin sérülékenység
CVE-2025-8489 – WordPress King Addons for Elementor plugin sérülékenysége
CVE-2025-9491 – Microsoft Windows LNK File UI Misrepresentation Remote Code Execution sebezhetősége
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2021-26829 – OpenPLC ScadaBR Cross-site Scripting sérülékenysége
CVE-2024-53375 – TP-Link sérülékenysége
CVE-2025-4581 – Liferay sérülékenysége
Tovább a sérülékenységekhez »