Ransomware, amely Windows Update-ként jelenik meg

Olvasási idő: 2 jegyzőkönyv

A közelmúltban felfedezett új zsarolóvírus, a Fantom legitim Microsoft Windows-frissítésnek álcázva támad. Így ráveszi a felhasználókat, hogy töltsék le, ezzel megnyitva az utat az adatszivárgás előtt…
Jakub Kroustek, az AVG biztonsági cég malware-kutatója fedezte fel ezt a meglehetősen kifinomult kártevőt.

A Ransomware, mint tudjuk, olyan rosszindulatú programra utal, amely segít a hackereknek blokkolni a rendszereket és titkosítani a felhasználók fájljait oly módon, hogy azokat ne lehessen megnyitni vagy használni. A Ransomware az alkalmazások futtatását is leállítja. Így az érintett személynek váltságdíjat kell fizetnie a hacker(ek)nek, hogy rendbe hozhassa a rendszerét, vagy megnyithasson és használhasson fájlokat és alkalmazásokat. A Ransomware támadások száma manapság növekszik; sok szervezet áldozatául esett ransomware támadások az elmúlt hónapokban.

Hogyan működik a Fantom…

A Fantom, amely a nyílt forráskódú EDA2 ransomware projekten alapuló zsarolóprogram, megjelenik egy hamis Windows Update képernyőn. Ez a frissítési képernyő elhiteti, hogy a Windows egy új kritikus frissítést telepít. Még a zsarolóprogram fájltulajdonságai is elhitethetik Önnel, hogy ez a Microsofttól származik, és a fájl leírása „Kritikus frissítés” lesz.

Ha azt hitte, hogy ez egy eredeti Windows-frissítés, akkor végrehajthatja. Ezáltal a ransomware bontsa ki és futtasson egy másik WindowsUpdate.exe nevű beágyazott programot, majd megjelenik egy hamis Windows Update képernyő. Ez a képernyő fedi az összes aktív Windowst, és nem fog tudni váltani semmilyen más nyitott alkalmazásra. Ezen a frissítési képernyőn azt a százalékot láthatja, amely elhiteti Önnel, hogy a Windows frissítése megtörténik, miközben a valóságban a fájljai titkosításra kerülnek, ahogy a százalékos arány nő. Bár a Ctrl+F4 billentyűkombináció segíthet bezárni ezt a képernyőt, ha akarja, a fájltitkosítás a háttérben folytatódik.

A Fantom a többi EDA2-alapú zsarolóvírushoz hasonlóan véletlenszerű AES-128 kulcsot generál, és RSA segítségével titkosítja. Ezután feltöltődik a malware-fejlesztők Command & Control szerverére. Ezután a helyi meghajtókon átvizsgálja azokat a fájlokat, amelyek célzott fájlkiterjesztéseket tartalmaznak. Ezek a fájlok AES-128 titkosítással vannak titkosítva, és minden titkosított fájlhoz hozzáadjuk a .fantom kiterjesztést. Azokban a mappákban, amelyekben a Fantom fájlokat titkosít, a DECRYPT_YOUR_FILES.HTML váltságdíj-jegyzet is létrejön. Amikor a titkosítás befejeződött, a Fantom két kötegfájlt hoz létre, amelyek végrehajtásra kerülnek; ezek törlik az árnyékkötet másolatait és a korábban kapott hamis frissítési képernyőt.

Aztán végre jön a váltságdíjat DECRYPT_YOUR_FILES.HTML. Ez megemlíti, hogy az adatok visszaállítása csak jelszavak vásárlásával lehetséges. Az utasításokat a fantomd12@yandex.ru vagy a fantom12@techemail.com e-mail címre küldheti el, hogy megkapja a fizetési utasításokat. Arra is figyelmeztetjük, hogy ne próbálja meg visszaállítani a fájlokat, mondván, hogy ez teljesen megsemmisítheti az adatait.

Bár a hackerek különböző taktikákat alkalmaznak a támadásra ransomware, a Fantom esetében alkalmazott stratégia okos. A támadók egy olyan képernyőt utánoznak, amelyet a legtöbb felhasználó, beleértve az üzleti felhasználókat is, felismer, és amelyben megbízik; viszonylag könnyű elhitetni az emberekkel, hogy jogos Windows-frissítést kapnak, és így ráveszik őket a Fantom letöltésére. Ez egy meglehetősen veszélyes tendencia mutatója lehet általában a rosszindulatú programok és különösen a zsarolóprogramok tekintetében.

Ransomware támadások

Ransomware védelmi szoftver

INGYENES PRÓBA INDÍTÁSA INGYEN SZEREZZE MEG AZONNALI BIZTONSÁGI EREDMÉNYKÁRTYÁT

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• Platoblockchain. Web3 metaverzum intelligencia. Felerősített tudás. Hozzáférés itt.
• A jövő pénzverése – Adryenn Ashley. Hozzáférés itt.
• Forrás: https://blog.comodo.com/pc-security/ransomware-strikes-posing-windows-update/