Kas popkorni aja lunavara muutub armuliseks või on see lihtsalt pettus?

Vaatamata sellele, et on olnud lugematu arv Ransomware tüvesid koos lõputute rünnakutega, näib Ransomware autorid olevat plaaninud kasutajaid uuemate taktikatega hirmutada.

Oleme juba saanud Ransomware tüvesid, mis kustutavad failid, kui lunaraha ettenähtud aja jooksul ei maksta. Lisaks on olemas variante, mis lukustavad kasutaja andmed, muutes failinime, muutes dekrüpteerimise veelgi raskemaks. Kuid seekord otsustasid Ransomware autorid oma pingutuste vähendamiseks tagada Popcorn Time Ransomware hõlpsa liikumise. Või peaksime ütlema, et nad on otsustanud olla ohvrite suhtes veidi halastavad.

Hiljuti avastas MalwareHunterTeam teise Ransomware tüve nimega Popcorn Time. Variantil on ebatavaline viis kasutajatelt raha välja pressida. Kui ohver annab pinge edukalt edasi kahele teisele kasutajale, saab ta tasuta dekrüpteerimisvõtme. Võib-olla peab ohver maksma, kui ta ei saa seda üle anda. Asja teeb veelgi hullemaks see, et lunavaras on lõpetamata kood, mis võib faile kustutada, kui kasutaja sisestab 4 korda vale dekrüpteerimisvõtme.

Mis on kahtlane Popcorn Time Ransomware'is

Tüvel on viitelink, mida hoitakse selle teistele kasutajatele edastamiseks. Algne ohver saab dekrüpteerimisvõtme, kui teised kaks on lunaraha tasunud. Aga kui nad seda ei tee, peab esmane ohver tasuma. Bleeping Computer tsiteerib: „Selle hõlbustamiseks sisaldab Popcorn Time lunarahateade URL-i, mis osutab lunavara TOR-serveris asuvale failile. Praegu on server maas, mistõttu pole kindel, kuidas see fail välja näeb või maskeeritakse, et meelitada inimesi seda installima.

Lisaks võib variandile lisada veel ühe funktsiooni, mis kustutab failid, kui kasutaja juhtub 4 korda vale dekrüpteerimisvõtme panema. Ilmselt on Ransomware alles arendusjärgus ja seega pole teada, kas see taktika on selles juba olemas või on see lihtsalt pettus.

Vaata ka:  Lunavara aasta: lühike kokkuvõte

Popcorn Time Ransomware töötab

Kui Ransomware on edukalt installitud, kontrollib see, kas lunavara on juba mitme faili kaudu käivitatud, näiteks %AppData%\been_here ja %AppData%\server_step_one . Kui süsteem on juba Ransomware'iga nakatunud, lõpetab tüvi end ise. Popcorn Time saab sellest aru, kui süsteemil on fail „been_here”. Kui sellist faili arvutist ei välju, levitab lunavara tigedust edasi. See laadib alla erinevaid pilte, et neid taustana kasutada või krüpteerimisprotsessi käivitada.

Kuna Popcorn Time on alles arendusjärgus, krüpteerib see ainult testkausta nimega Efiles . See kaust on kasutajate töölaual ja sisaldab erinevaid faile, nagu .back, .backup, .ach jne (kogu faililaiendite loend on toodud allpool).

.1cd, .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .7zip, .aac, .aaf, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .adp, .ads, .aep, .aepx, .aes, .aet, .agdl, .ai, .aif, .aiff, .ait, .al, .amr, .aoi, .apj, .apk, .arch00, .arw, .as, .as3, .asf, .asm, .asp, .aspx, .asset, .asx, .atr, .avi, .awg, .back, .backup, .backupdb, .bak, .bar, .bay, .bc6, .bc7, .bdb, .bgt, .big, .bik, .bin, .bkf, .bkp, .blend, .blob, .bmd, .bmp, .bpw, .bsa, .c, .cas, .cdc, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfg, .cfr, .cgm, .cib, .class, .cls, .cmt, .config, .contact, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .css, .csv, .d3dbsp, .dac, .dar, .das, .dat, .dazip, .db, .db0, .db3, .dba, .dbf, .dbx, .db_journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .desc, .design, .dgc, .dir, .dit, .djvu, .dmp, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .easm, .edb, .efx, .eml, .epk, .eps, .erbsql, .erf, .esm, .exf, .fdb, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flf, .flv, .flvv, .forge, .fos, .fpk, .fpx, .fsh, .fxg, .gdb, .gdoc, .gho, .gif, .gmap, .gray, .grey, .groups, .gry, .gsheet, .h, .hbk, .hdd, .hkdb, .hkx, .hplg, .hpp, .htm, .html, .hvpl, .ibank, .ibd, .ibz, .icxs, .idml, .idx, .iff, .iif, .iiq, .incpas, .indb, .indd, .indl, .indt, .inx, .itdb, .itl, .itm, .iwd, .iwi, .jar, .java, .jnt, .jpe, .jpeg, .jpg, .js, .kc2, .kdb, .kdbx, .kdc, .key, .kf, .kpdx, .kwm, .laccdb, .layout, .lbf, .lck, .ldf, .lit, .litemod, .log, .lrf, .ltx, .lua, .lvl, .m, .m2, .m2ts, .m3u, .m3u8, .m4a, .m4p, .m4u, .m4v, .map, .max, .mbx, .mcmeta, .md, .mdb, .mdbackup, .mdc, .mddata, .mdf, .mdi, .mef, .menu, .mfw, .mid, .mkv, .mlb, .mlx, .mmw, .mny, .mos, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mpp, .mpqge, .mrw, .mrwref, .msg, .myd, .nc, .ncf, .nd, .ndd, .ndf, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nvram, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .ogg, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pak, .pas, .pat, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pif, .pkpass, .pl, .plb, .plc, .plt, .plus_muhd, .pmd, .png, .po, .pot, .potm, .potx, .ppam, .ppj, .ppk, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prf, .prproj, .ps, .psafe3, .psd, .psk, .pst, .ptx, .pwm, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qed, .qic, .r3d, .ra, .raf, .rar, .rat, .raw, .rb, .rdb, .re4, .rgss3a, .rim, .rm, .rofl, .rtf, .rvt, .rw2, .rwl, .rwz, .s3db, .safe, .sas7bdat, .sav, .save, .say, .sb, .sd0, .sda, .sdf, .ses, .shx, .sid, .sidd, .sidn, .sie, .sis, .sldasm, .sldblk, .sldm, .sldprt, .sldx, .slm, .snx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stl, .stm, .stw, .stx, .sum, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .t12, .t13, .tap, .tax, .tex, .tga, .thm, .tif, .tlg, .tor, .txt, .upk, .v3d, .vbox, .vcf, .vdf, .vdi, .vfs0, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .vob, .vpk, .vpp_pc, .vtf, .w3x, .wab, .wad, .wallet, .wav, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x11, .x3f, .xf, .xis, .xla, .xlam, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsb3dm, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xxx, .ycbcra, .yuv, .zip, .ztmp

Seejärel otsib lunavara teatud laienditele vastavaid faile ja alustab failide krüpteerimist AES-256 krüptimisega. Kui fail on Popcorn Time'iga krüpteeritud, lisab see selle laiendiks .filock. Näiteks kui faili nimi on "abc.docx", muudetakse see nimeks "abc.docx.filock". Kui nakatumine õnnestub, teisendab see kaks base64 stringi ja salvestab need lunaraha märkmetena, mida nimetatakse restore_your_files.html ja restore_your_files.txt . Seejärel kuvab lunavara HTML-i lunarahateate.

pildi allikas: bleepingcomputer.com

Kaitse lunavara vastu

Kuigi siiani pole välja töötatud ühtegi detektorit või lunavara eemaldajat, mis aitaks kasutajat pärast sellega nakatumist, soovitatakse kasutajatel võtta lunavararünnakute vältimiseks ettevaatusabinõusid . Kõige tähtsam on andmete varukoopia tegemine . Seejärel saate tagada ka turvalise Internetis surfamise, lubada reklaamiploki laienduse, hoida autentset pahavaratõrjevahendit ning värskendada õigeaegselt oma süsteemi installitud tarkvara, tööriistu, rakendusi ja programme. Ilmselt peate selle jaoks lootma usaldusväärsetele tööriistadele. Üks selline tööriist on Right Backup, mis on pilvesalvestuslahendus . See aitab teil salvestada oma andmeid pilv turvalisus 256-bitise AES krüpteeringuga.