Trojan.Ransomcrypt.Q


2015. március 13. 10:06

CH azonosító

CH-12068

Angol cím

Trojan.Ransomcrypt.Q

Felfedezés dátuma

2015.03.09.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

Trojan.Ransomcrypt.Q egy trójai, ami titkosítja a fertőzött számítógép fájljait, majd a visszafejtésükhöz váltságdíjat kér.

Leírás

Amikor aktiválódik létrehozza az alábbi állományokat, az automatikus indulás érdekében:

  • %UserProfile%Start MenuProgramsStartup[ORIGINAL FILE NAME].exe
  • %UserProfile%Start MenuProgramsStartupbytor.bmp

A trójai módosítja az alábbi regisztrációs bejegyzést a desktop beállítások megváltoztatására:

  • HKEY_CURRENT_USERControl PanelDesktop”Wallpaper” = “%UserProfile%Application Databytor.bmp”

A következőkben a trójai titkosítja az alábbi kiterjesztésekkel ellátott fájlokat:

  • 3fr
  • .accdb
  • .ai
  • .arw
  • .bay
  • .cdr
  • .cer
  • .cr2
  • .crt
  • .crw
  • .dbf
  • .dcr
  • .der
  • .dng
  • .doc
  • .docm
  • .docx
  • .dwg
  • .dxf
  • .dxg
  • .eps
  • .erf
  • .indd
  • .jpe
  • .jpg
  • .kdc
  • .mdb
  • .mdf
  • .mef
  • .mrw
  • .nef
  • .nrw
  • .odb
  • .odm
  • .odp
  • .ods
  • .odt
  • .orf
  • .p12
  • .p7b
  • .p7c
  • .pdd
  • .pef
  • .pem
  • .pfx
  • .ppt
  • .pptm
  • .pptx
  • .psd
  • .pst
  • .ptx
  • .r3d
  • .raf
  • .raw
  • .rtf
  • .rw2
  • .rwl
  • .srf
  • .srw
  • .wb2
  • .wpd
  • .wps
  • .xlk
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx

A trójai az alábbi módon nevezi át a titkosított fájlokat:

  • [ORIGINAL FILE NAME].id-[RANDOM 10-DIGIT NUMBER]_decode@india.com

Ezek után törli az eredeti állományokat.

Majd a program megpróbál csatlakozni az alábbi távoli kiszolgálókhoz:

  • http://]www.fuck-isil.com/close/scrip[REMOVED]
  • [http://]kapustakapaet.com/close/scrip[REMOVED]
  • [http://]www.ahalaymahalay.com/close/scrip[REMOVED]
  • [http://]martyanovdrweb.com/close/scrip[REMOVED]
  • [http://]www.decryptindia.com/close/scrip[REMOVED]

Végül megváltoztatja az asztal hátterét, amelyen a további instrukciók találhatóak.

Megoldás

  • Készítsen offline biztonsági mentést
  • Tiltsa le a leírásban említett domaineket
  • Használjon naprakész vírusírtó szoftvert

Támadás típusa

Crypthographical (Titkosítás)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: www.symantec.com

Legfrissebb sérülékenységek
CVE-2024-53104 – Linux Kernel sérülékenysége
CVE-2025-7656 – Google Chrome sérülékenysége
CVE-2025-6541 – TP-Link sérülékenysége
CVE-2025-61884 – Oracle E-Business Suite Server-Side Request Forgery (SSRF) sérülékenysége
CVE-2025-2747 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2025-2746 – Kentico Xperience CMS Authentication Bypass Using an Alternate Path or Channel sérülékenysége
CVE-2022-48503 – Apple Multiple Products Unspecified sérülékenysége
CVE-2025-61932 – Motex LANSCOPE Endpoint Manager sérülékenysége
CVE-2025-54957 – Dolby UDC out-of-bounds write sérülékenysége
CVE-2025-9968 – ASUS Armoury Crate sérülékenysége
Tovább a sérülékenységekhez »