Win32/Crowti

CH azonosító

CH-11442

Angol cím

Win32/Crowti

Felfedezés dátuma

2014.07.17.

Súlyosság

Alacsony

Érintett rendszerek

Microsoft

Érintett verziók

Microsoft

Összefoglaló

A Crowti trójai nagyban hasonlít a Cryptolocker károkozó programhoz. A Crowti károkozó helyreállíthatatlan károkat idéz elő úgy, hogy titkosítja a felhasználó állományait, multimédiás fájlokat és dokumentumokat. A titkosítás végeztével megjeleníti egy üzenetablakban a követeléseit és zárolja a számítógépet.

A Crowti trójai a felhasználó számára egy pár napot hagy a váltságdíj kifizetésére, ha a fizetés késik a váltság díj összege növekedik. A csalók állítása szerint a helyreállításhoz szükséges információk a határidő lejárta után törlődik, és a váltságdíj akár az 1000 dollárt is elérheti. Azonban azt semmi sem garantálja, hogy a váltságdíj kifizetése után információt küldenének a dekódoláshoz.

A Crowti Tor hálózatok használatával megnehezíti a felderítést. A felhasználónak – amennyiben fizetni szeretne  -, akkor egy Tor-klienst kell telepíteni a számítógépre és Bitcoinnal is rendezheti az egyenlegét.

Leírás

1. A következő állományt hozza létre:
c:[véletlenszerű karakterek][véletlenszerű karakterek].exe
%APPDATA%[véletlenszerű karakterek].exe
[%Start menü%]programsstartup[véletlenszerű karakterek].exe
2. Az alábbi értékeket hozzáadja a regisztrációs adatbázishoz:
HKURegistryUser[SID]SoftwareMicrosoftWindowsCurrentVersionRun[véletlenszerű karakterek]=”c:[véletlenszerű karakterek][véletlenszerű karakterek].exe”
HKURegistryUser[SID]SoftwareMicrosoftWindowsCurrentVersionRun[véletlenszerű karakterek]=”c:[véletlenszerű karakterek][véletlenszerű karakterek].exe”
HKURegistryUser[SID]SoftwareMicrosoftWindowsCurrentVersionRunOnce”*[véletlenszerű karakterek]” =”c:[véletlenszerű karakterek][véletlenszerű karakterek].exe”
3. A felhasználói fájlokat, dokumentumokat, multimédiás állományokat titkosítja a PC-n.
4. A számítógépet zárolja.
5. Közli a követeléseit a megjelenített üzenetablakban.
6. Az árnyékmásolatokat és a biztonsági mentéseket törli.

Hivatkozások

Egyéb referencia: www.microsoft.com