Ransomware die zich voordoet als Windows Update

Ransomware die zich voordoet als Windows Update

Tijdstempel: 8 september 2016 1:16 uur

ransomware Leestijd: 2 minuten

Fantom, een nieuwe ransomware die onlangs is ontdekt, lijkt vermomd als een legitieme update van Microsoft Windows. Zo verleidt het gebruikers om het te downloaden, waardoor de weg wordt vrijgemaakt voor datalekken ...
Malware-onderzoeker Jakub Kroustek van beveiligingsbedrijf AVG heeft deze vrij geavanceerde malware ontdekt.

Zoals we weten, verwijst ransomware naar de malware die hackers helpt systemen te blokkeren en de bestanden van gebruikers te versleutelen zodat ze niet kunnen worden geopend of gebruikt. Ransomware voorkomt ook dat apps worden uitgevoerd. De getroffen persoon zal dus een losgeld moeten betalen aan de hacker (s) om zijn systeem weer op de rails te krijgen of om bestanden en apps te openen en te gebruiken. Ransomware-aanvallen nemen tegenwoordig toe in aantal; Velen zijn de organisaties die ten prooi zijn gevallen aan ransomware aanvallen in de afgelopen maanden.

Hoe Fantom werkt ...

Fantom, een ransomware gebaseerd op het open-source EDA2 ransomware-project, verschijnt met een nep Windows Update-scherm. Dit updatescherm doet je geloven dat Windows een nieuwe essentiële update installeert. Zelfs de bestandseigenschappen van de ransomware zouden je dat doen geloven, met de mededeling dat het van Microsoft is en de bestandsbeschrijving 'Critical Update' zal hebben.

Geloofd te geloven dat het een echte Windows-update is, zou je het kunnen uitvoeren. Dit zal de ransomware extraheer en voer een ander ingebed programma uit genaamd WindowsUpdate.exe en dan zal een nep Windows Update-scherm verschijnen. Dit scherm bedekt alle actieve Windows en u kunt niet overschakelen naar een andere geopende applicatie. Op dit updatescherm ziet u een percentage dat u doet geloven dat de Windows-update plaatsvindt, terwijl in werkelijkheid uw bestanden worden versleuteld naarmate het percentage toeneemt. Hoewel de toetsencombinatie Ctrl + F4 u kan helpen dit scherm te sluiten als u dat wilt, zou de bestandscodering op de achtergrond doorgaan.

Fantom zal, net als andere op EDA2 gebaseerde ransomware, een willekeurige AES-128-sleutel genereren en deze versleutelen met RSA. Vervolgens wordt het geüpload naar de Command & Control-server van de malware-ontwikkelaars. Vervolgens scant het lokale stations op bestanden die gerichte bestandsextensies bevatten. Deze bestanden zijn versleuteld met AES-128-versleuteling, aan elk versleuteld bestand wordt de extensie .fantom toegevoegd. In mappen waarin Fantom bestanden versleutelt, wordt ook een losgeldbrief DECRYPT_YOUR_FILES.HTML aangemaakt. Als de codering klaar is, zal Fantom twee batchbestanden creëren die worden uitgevoerd; deze zullen de schaduwvolumekopieën en het nep-updatescherm verwijderen dat u eerder had.

Dan komt eindelijk de losgeldbrief genaamd DECRYPT_YOUR_FILES.HTML. Hierin wordt vermeld dat het herstellen van uw gegevens alleen mogelijk is door wachtwoorden van hen te kopen. Er zullen instructies zijn om fantomd12@yandex.ru of fantom12@techemail.com te e-mailen, zodat u betalingsinstructies kunt ontvangen. U wordt ook gewaarschuwd om niet te proberen bestanden te herstellen die zeggen dat het uw gegevens volledig zou kunnen vernietigen.

Hoewel hackers verschillende tactieken gebruiken om mee te staken ransomware, is de strategie die gebruikt wordt in het geval van Fantom een ​​slimme. De aanvallers bootsen een scherm na dat de meeste gebruikers, inclusief zakelijke gebruikers, herkennen en zelfs vertrouwen; het is relatief eenvoudig om mensen te laten geloven dat ze een legitieme Windows-update krijgen en dus om Fantom te downloaden. Dit zou een aanwijzing kunnen zijn voor een nogal gevaarlijke trend met betrekking tot malware in het algemeen en ransomware in het bijzonder.

Ransomware-aanvallen

Software voor bescherming tegen ransomware

START GRATIS VERZOEK KRIJG GRATIS UW DIRECTE BEVEILIGINGSSCOREKAART

Tijdstempel:

Meer van Cyberbeveiliging Comodo