Ransomware que parece posar como Windows Update

Ransomware que parece posar como Windows Update

Carimbo de data / hora: 8 de setembro de 2016, 1:16

ransomware Tempo de leitura: 2 minutos

Fantom, um novo ransomware descoberto recentemente, ataca disfarçado como uma atualização legítima do Microsoft Windows. Assim, ele engana os usuários para baixá-lo, abrindo caminho para a violação de dados…
O pesquisador de malware Jakub Kroustek, da empresa de segurança AVG, descobriu esse malware bastante sofisticado.

Ransomware, como sabemos, refere-se ao malware que ajuda os hackers a bloquear sistemas e criptografar os arquivos dos usuários de forma que eles não possam ser abertos ou usados. O ransomware também impede a execução de aplicativos. Assim, a pessoa afetada terá que pagar um resgate ao(s) hacker(es) para colocar seu sistema de volta nos trilhos ou para abrir e usar arquivos e aplicativos. Os ataques de ransomware estão aumentando em número nos dias de hoje; muitas são as organizações que foram vítimas de ransomware ataques nos últimos meses.

Como o Fantom funciona…

O Fantom, que é um ransomware baseado no projeto de ransomware EDA2 de código aberto, aparece exibindo uma tela falsa do Windows Update. Essa tela de atualização leva você a acreditar que o Windows está instalando uma nova atualização crítica. Até as propriedades do arquivo do ransomware fariam você acreditar nisso, afirmando que é da Microsoft e terá a descrição do arquivo como 'Atualização crítica'.

Levado a acreditar que é uma atualização genuína do Windows, você pode executá-la. Isso fará com que o ransomware extraia e execute outro programa incorporado chamado WindowsUpdate.exe e, em seguida, uma tela falsa do Windows Update será exibida. Esta tela irá sobrepor todos os Windows ativos e você não poderá alternar para nenhum outro aplicativo aberto. Você veria nesta tela de atualização uma porcentagem que o leva a acreditar que a atualização do Windows está ocorrendo enquanto, na realidade, seus arquivos estão sendo criptografados à medida que a porcentagem aumenta. Embora a combinação de teclas Ctrl + F4 possa ajudá-lo a fechar esta tela, se desejar, a criptografia do arquivo continuaria em segundo plano.

O Fantom, como outros ransomwares baseados em EDA2, gerará uma chave AES-128 aleatória e a criptografará usando RSA. Em seguida, ele será carregado no servidor Command & Control dos desenvolvedores de malware. Em seguida, ele verifica as unidades locais em busca de arquivos que contenham extensões de arquivo direcionadas. Esses arquivos são criptografados usando criptografia AES-128, a cada arquivo criptografado será adicionada a extensão .fantom. Nas pastas onde o Fantom criptografa os arquivos, uma nota de resgate DECRYPT_YOUR_FILES.HTML também será criada. Quando a criptografia estiver concluída, o Fantom criará dois arquivos em lote que serão executados; isso excluirá as cópias do volume de sombra e a tela de atualização falsa que você obteve anteriormente.

Então finalmente vem a nota de resgate chamada DECRYPT_YOUR_FILES.HTML. Isso terá a menção de que a restauração de seus dados só seria possível comprando senhas deles. Haverá as instruções para enviar um e-mail para fantomd12@yandex.ru ou fantom12@techemail.com para que você possa receber as instruções de pagamento. Você também é avisado para não tentar restaurar arquivos dizendo que isso pode destruir seus dados completamente.

Embora os hackers usem táticas diferentes para atacar com ransomware, a estratégia usada no caso do Fantom é inteligente. Os invasores imitam uma tela que a maioria dos usuários, incluindo usuários corporativos, reconhece e até confia; é relativamente fácil levar as pessoas a acreditar que estão recebendo uma atualização legítima do Windows e, assim, levá-las a baixar o Fantom. Isso pode ser um indicador de uma tendência bastante perigosa em relação ao malware em geral e ao ransomware em particular.

Ataques de Ransomware

Software de proteção contra ransomware

COMECE O TESTE GRÁTIS OBTENHA SEU SCORECARD DE SEGURANÇA INSTANTÂNEO GRATUITAMENTE

Carimbo de hora:

Mais de Comodo de segurança cibernética