Ransomware, które udaje, że udaje Windows Update

Ransomware, które udaje, że udaje Windows Update

Znacznik czasu: 8 września 2016 1:16

ransomware Czas czytania: 2 minuty

Fantom, nowe oprogramowanie ransomware, które zostało niedawno odkryte, atakuje podszywając się pod legalną aktualizację systemu Microsoft Windows. W ten sposób nakłania użytkowników do pobrania go, torując w ten sposób drogę do naruszenia danych…
Badacz szkodliwego oprogramowania Jakub Kroustek z firmy AVG zajmującej się bezpieczeństwem odkrył to dość wyrafinowane złośliwe oprogramowanie.

Ransomware, jak wiemy, odnosi się do złośliwego oprogramowania, które pomaga hakerom blokować systemy i szyfrować pliki użytkowników w taki sposób, że nie można ich otworzyć ani użyć. Ransomware uniemożliwia również uruchamianie aplikacji. W związku z tym osoba, której to dotyczy, będzie musiała zapłacić okup hakerowi (hakerom), aby przywrócić system do działania lub otworzyć i korzystać z plików i aplikacji. W dzisiejszych czasach liczba ataków ransomware rośnie; wiele organizacji padło ofiarą ransomware ataki w ostatnich miesiącach.

Jak działa Fantom…

Fantom, który jest oprogramowaniem ransomware opartym na projekcie ransomware EDA2 o otwartym kodzie źródłowym, wyświetla fałszywy ekran aktualizacji systemu Windows. Ten ekran aktualizacji prowadzi do przekonania, że ​​system Windows instaluje nową aktualizację krytyczną. Nawet właściwości pliku ransomware sprawią, że będziesz w to wierzyć, stwierdzając, że pochodzi od firmy Microsoft i będzie miał opis pliku jako „Aktualizacja krytyczna”.

Doprowadzony do przekonania, że ​​jest to prawdziwa aktualizacja systemu Windows, możesz ją uruchomić. To sprawi, że ransomware rozpakuj i uruchom inny osadzony program o nazwie WindowsUpdate.exe, a następnie zostanie wyświetlony fałszywy ekran Windows Update. Ten ekran nałoży się na cały aktywny system Windows i nie będzie można przełączyć się na żadną inną otwartą aplikację. Na tym ekranie aktualizacji zobaczysz procent, który prowadzi do przekonania, że ​​aktualizacja systemu Windows ma miejsce, podczas gdy w rzeczywistości pliki są szyfrowane wraz ze wzrostem procentu. Chociaż kombinacja klawiszy Ctrl + F4 może pomóc w zamknięciu tego ekranu, jeśli chcesz, szyfrowanie plików będzie kontynuowane w tle.

Fantom, podobnie jak inne oprogramowanie ransomware oparte na EDA2, wygeneruje losowy klucz AES-128 i zaszyfruje go za pomocą RSA. Następnie zostanie przesłany na serwer dowodzenia i kontroli twórców złośliwego oprogramowania. Następnie skanuje dyski lokalne w poszukiwaniu plików zawierających docelowe rozszerzenia plików. Pliki te są zaszyfrowane przy użyciu szyfrowania AES-128, do każdego zaszyfrowanego pliku zostanie dodane rozszerzenie .fantom. W folderach, w których Fantom szyfruje pliki, zostanie również utworzona notatka dotycząca okupu DECRYPT_YOUR_FILES.HTML. Po zakończeniu szyfrowania Fantom utworzy dwa pliki wsadowe, które zostaną wykonane; spowodują one usunięcie kopii woluminów w tle i fałszywego ekranu aktualizacji, które otrzymałeś wcześniej.

W końcu pojawia się żądanie okupu o nazwie DECRYPT_YOUR_FILES.HTML. Będzie to zawierać wzmiankę, że odzyskanie danych będzie możliwe tylko poprzez zakup od nich haseł. Otrzymasz instrukcje, aby wysłać wiadomość e-mail na adres fantomd12@yandex.ru lub fantom12@techemail.com, abyś mógł otrzymać instrukcje dotyczące płatności. Ostrzegamy również, aby nie próbować przywracać plików, mówiąc, że może to całkowicie zniszczyć Twoje dane.

Chociaż hakerzy używają różnych taktyk do ataku ransomware, strategia zastosowana w przypadku Fantom jest sprytna. Osoby atakujące naśladują ekran, który większość użytkowników, w tym użytkownicy biznesowi, rozpoznaje, a nawet ufa; stosunkowo łatwo jest przekonać ludzi, że otrzymują legalną aktualizację systemu Windows, a tym samym doprowadzić ich do pobrania Fantomu. Może to wskazywać na dość niebezpieczny trend dotyczący złośliwego oprogramowania w ogóle, a w szczególności oprogramowania ransomware.

Ataki ransomware

Oprogramowanie do ochrony przed ransomware

ROZPOCZNIJ DARMOWY OKRES PRÓBNY ODBIERZ SWOJĄ NATYCHMIASTOWĄ KARTĘ BEZPIECZEŃSTWA ZA DARMO

Znak czasu:

Więcej z Cyberbezpieczeństwo Comodo