Trojan.Ransomcrypt.Q


2015. március 13. 10:06

CH azonosító

CH-12068

Angol cím

Trojan.Ransomcrypt.Q

Felfedezés dátuma

2015.03.09.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Windows 2000, Windows 7, Windows 95, Windows 98, Windows Me, Windows NT, Windows Server 2003, Windows Server 2008, Windows Vista, Windows XP

Összefoglaló

Trojan.Ransomcrypt.Q egy trójai, ami titkosítja a fertőzött számítógép fájljait, majd a visszafejtésükhöz váltságdíjat kér.

Leírás

Amikor aktiválódik létrehozza az alábbi állományokat, az automatikus indulás érdekében:

  • %UserProfile%Start MenuProgramsStartup[ORIGINAL FILE NAME].exe
  • %UserProfile%Start MenuProgramsStartupbytor.bmp

A trójai módosítja az alábbi regisztrációs bejegyzést a desktop beállítások megváltoztatására:

  • HKEY_CURRENT_USERControl PanelDesktop”Wallpaper” = “%UserProfile%Application Databytor.bmp”

A következőkben a trójai titkosítja az alábbi kiterjesztésekkel ellátott fájlokat:

  • 3fr
  • .accdb
  • .ai
  • .arw
  • .bay
  • .cdr
  • .cer
  • .cr2
  • .crt
  • .crw
  • .dbf
  • .dcr
  • .der
  • .dng
  • .doc
  • .docm
  • .docx
  • .dwg
  • .dxf
  • .dxg
  • .eps
  • .erf
  • .indd
  • .jpe
  • .jpg
  • .kdc
  • .mdb
  • .mdf
  • .mef
  • .mrw
  • .nef
  • .nrw
  • .odb
  • .odm
  • .odp
  • .ods
  • .odt
  • .orf
  • .p12
  • .p7b
  • .p7c
  • .pdd
  • .pef
  • .pem
  • .pfx
  • .ppt
  • .pptm
  • .pptx
  • .psd
  • .pst
  • .ptx
  • .r3d
  • .raf
  • .raw
  • .rtf
  • .rw2
  • .rwl
  • .srf
  • .srw
  • .wb2
  • .wpd
  • .wps
  • .xlk
  • .xls
  • .xlsb
  • .xlsm
  • .xlsx

A trójai az alábbi módon nevezi át a titkosított fájlokat:

  • [ORIGINAL FILE NAME].id-[RANDOM 10-DIGIT NUMBER]_decode@india.com

Ezek után törli az eredeti állományokat.

Majd a program megpróbál csatlakozni az alábbi távoli kiszolgálókhoz:

  • http://]www.fuck-isil.com/close/scrip[REMOVED]
  • [http://]kapustakapaet.com/close/scrip[REMOVED]
  • [http://]www.ahalaymahalay.com/close/scrip[REMOVED]
  • [http://]martyanovdrweb.com/close/scrip[REMOVED]
  • [http://]www.decryptindia.com/close/scrip[REMOVED]

Végül megváltoztatja az asztal hátterét, amelyen a további instrukciók találhatóak.

Megoldás

  • Készítsen offline biztonsági mentést
  • Tiltsa le a leírásban említett domaineket
  • Használjon naprakész vírusírtó szoftvert

Támadás típusa

Crypthographical (Titkosítás)

Szükséges hozzáférés

Remote/Network (Távoli/hálózat)

Hivatkozások

Egyéb referencia: www.symantec.com

Legfrissebb sérülékenységek
CVE-2026-22769 – Dell RecoverPoint for Virtual Machines (RP4VMs) Use of Hard-coded Credentials sérülékenység
CVE-2021-22175 – GitLab Server-Side Request Forgery (SSRF) sérülékenység
CVE-2008-0015 – Microsoft Windows Video ActiveX Control Remote Code Execution sérülékenység
CVE-2024-7694 – TeamT5 ThreatSonar Anti-Ransomware Unrestricted Upload of File with Dangerous Type sérülékenység
CVE-2020-7796 – Synacor Zimbra Collaboration Suite (ZCS) Server-Side Request Forgery sérülékenység
CVE-2026-1731 – BeyondTrust Remote Support (RS) and Privileged Remote Access (PRA) OS Command Injection sérülékenység
CVE-2026-2441 – Google Chromium CSS Use-After-Free sérülékenysége
CVE-2025-40536 – SolarWinds Web Help Desk Security Control Bypass sérülékenység
CVE-2025-15556 – Notepad++ Download of Code Without Integrity Check sérülékenység
CVE-2024-43468 – Microsoft Configuration Manager SQL Injection sérülékenység
Tovább a sérülékenységekhez »