вторник, 2 августа 2016 г.

BaksoCrypt Ransomware 


   Этот крипто-вымогатель шифрует данные пользователей с помощью AES-128, а затем требует приобрести программу дешифровки, чтобы вернуть файлы. Название оригинальное.

© Генеалогия: my-Little-Ransomware >> Cute Ransomware > BaksoCrypt Ransomware

К зашифрованным файлам добавляется расширение .adr

Активность этого криптовымогателя пришлась на начало августа 2016 г. Ориентирован на китайскоязычных пользователей, что не мешает перевести на английский и начать распространять его по всему миру.

Записка с требованием выкупа выклядит как простое диалоговое окно с заголовком 警告 (Внимание) и написана на китайском. 

Содержание записки о выкупе:
发现您硬盘内替使用过盗版的我公司软件,所以捋您部分文件加密.
若要解密,请电邮 ***@163.com 购买相应软件!

Перевод текста на русский язык (выполнен Amigo-A):
На вашем жестком диске найдены следы использования пиратского программного обеспечения, поэтому некоторые из ваших файлов подвергнуты шифрованию.
Для дешифровки, пожалуйста, напишите на email ***@163.com чтобы приобрести соответствующее программное обеспечение!

Записка может быть продублирована в текстовом сообщении с аналогичным содержанием.

Распространяться может с помощью email-спама и вредоносных вложений, эксплойтов, фальшивых обновлений, перепакованных и заражённых инсталляторов.

Вредонос использует rundll32.exe, чтобы запустить скрипт, который добавляет запись в реестр:
"C:\Windows\System32\rundll32.exe" javascript:"\..\mshtml,RunHTMLApplication ";document.write();shell=new%20ActiveXObject("wscript.shell");shell.regwrite("HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\adr","{malware path}"

Так шифровальщик прописывается в аdnозагрузку Windows, чтобы включить автоматическое выполнение при каждом старте системы. 
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
 adr = "{malware path}"

Список файловых расширений, подвергающихся шифрованию:
.3dm, .3g2, .3gp, .aaf, .accdb, .aep, .aepx, .aet, .ai, .aif, .arw, .as, .as3, .asf, .asp, .asx, .avi, .bay, .bmp, .cdr, .cer, .class, .cpp, .cr2, .crt, .crw, .cs, .csv, .db, .dbf, .dcr, .der, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .dxf, .dxg, .efx, .eps, .erf, .fla, .flv, .idml, .iff, .indb, .indd, .indl, .indt, .inx, .jar, .java, .jpeg, .jpg, .kdc, .log, .m3u, .m3u8, .m4u, .max, .mdb, .mdf, .mef, .mid, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mrw, .msg, .nef, .nrw, .odb, .odc, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdb, .pdf, .pef, .pem, .pfx, .php, .plb, .pmd, .png, .pot, .potm, .potx, .ppam, .ppj, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prproj, .ps, .psd, .pst, .ptx, .r3d, .ra, .raf, .rar, .raw, .rb, .rtf, .rw2, .rwl, .sdf, .sldm, .sldx, .sql, .sr2, .srf, .srw, .svg, .swf, .tif, .txt, .vcf, .vob, .wav, .wb2, .wma, .wmv, .wpd, .wps, .x3f, .xla, .xlam, .xlk, .xll, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .zip (160 расширений).
Документы MS Office, базы данных, PDF, фотографии, музыка, видео, образы дисков и пр.

Файлы, связанные с этим Ransomware:
BaksoCrypt.exe - сам шифровальщик
DecryptBakso.exe - декриптор

Дроппированные файлы:
...\malware directory\sendBack.txt
...\malware directory\secret.txt
...\malware directory\secreatAES.txt
...\malware directory\data receive

Записи реестра, связанные с этим Ransomware:
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce      adr = "{malware path}"

Результаты анализов:
Гибридный анализ >>
VirusTotal анализ >>

Степень распространённости: низкая.
Подробные сведения собираются.

 Read to links: 
 Tweet on Twitter
 Write-up by TrendMicro
 Example (article)
 *
 Thanks: 
 JakubKroustek (AVG, Avast)
 Jeanne Jocson (TrendMicro)
 *
 *
 

Комментариев нет:

Отправить комментарий

ВНИМАНИЕ!!!
Ваши комментарии к статье появятся только после проверки службой модерации.
Дублировать их не нужно. Если это не спам, то они вскоре будут опубликованы.

ATTENTION!!!
Your new comment will be moderated. Do not repeat its, please. Spam will be deleted.

Постоянные читатели

Форма для связи / Contact

Имя

Электронная почта *

Сообщение *