Popcorn Time Ransomware postaje milosrdan ili je to samo prevara?

Unatoč nebrojenim vrstama Ransomwarea s beskrajnim napadima, čini se da su autori Ransomwarea planirali uplašiti korisnike novijim taktikama.

Već smo primili Ransomware sojeve koji bi izbrisali datoteke ako se otkupnina ne plati u propisanom roku. Nadalje, postoje varijante koje zaključavaju korisničke podatke promjenom naziva datoteke, što dešifriranje čini još težim. Međutim, ovaj put, autori Ransomwarea odlučili su osigurati jednostavan protok Popcorn Time Ransomwarea kako bi smanjili svoj trud. Ili bismo trebali reći, odlučili su biti malo milosrdni prema žrtvama.

Nedavno je MalwareHunterTeam otkrio još jedan soj Ransomwarea pod nazivom Popcorn Time. Varijanta ima neobičan način iznuđivanja novca od korisnika. Ako žrtva uspješno prenese soj na druga dva korisnika, dobit će besplatan ključ za dešifriranje. Možda će žrtva morati platiti ako je ne može preći. Da bude još gore, u ransomwareu se nalazi nedovršeni kod koji može izbrisati datoteke ako korisnik 4 puta unese pogrešan ključ za dešifriranje.

Što je sumnjivo u vezi Popcorn Time Ransomwarea

Soj ima referentnu vezu koja se čuva kako bi je prenijela drugim korisnicima. Izvorna žrtva dobiva ključ za dešifriranje kada druge dvije plate otkupninu. Ali, ako to ne učine onda primarna žrtva mora izvršiti plaćanje. Bleeping Computer citira: “Da bi se to olakšalo, bilješka o otkupnini Popcorn Time sadržavat će URL koji upućuje na datoteku koja se nalazi na TOR poslužitelju ransomwarea. U ovom trenutku poslužitelj ne radi, tako da nije sigurno kako će se ova datoteka pojaviti ili biti prikrivena kako bi se ljudi prevarili da je instaliraju.”

Nadalje, varijanti se može dodati još jedna značajka koja bi izbrisala datoteke ako korisnik 4 puta stavi netočan ključ za dešifriranje. Očigledno, Ransomware je još uvijek u fazi razvoja i stoga je nepoznato postoji li ova taktika već u njemu ili je to samo prevara.

Vidi također:  Godina Ransomwarea: Kratak sažetak

Popcorn Time Ransomware funkcionira

Nakon što je Ransomware uspješno instaliran, provjerava je li ransomware već pokrenut putem nekoliko datoteka kao što su %AppData%\been_here i %AppData%\server_step_one . Ako je sustav već bio zaražen Ransomwareom, soj se sam prekida. Popcorn Time to razumije ako sustav ima datoteku 'been_here'. Ako takva datoteka ne izađe iz računala, ransomware nastavlja širiti zlo. On preuzima razne slike koje se mogu koristiti kao pozadine ili pokrenuti proces šifriranja.

Budući da je Popcorn Time još uvijek u fazi razvoja, šifrira samo testnu mapu pod nazivom Efiles . Ova mapa postoji na radnoj površini korisnika i sadrži razne datoteke kao što su .back, .backup, .ach, itd. (cijeli popis ekstenzija datoteka dat je u nastavku).

.1cd, .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .7zip, .aac, .aaf, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .adp, .ads, .aep, .aepx, .aes, .aet, .agdl, .ai, .aif, .aiff, .ait, .al, .amr, .aoi, .apj, .apk, .arch00, .arw, .as, .as3, .asf, .asm, .asp, .aspx, .asset, .asx, .atr, .avi, .awg, .back, .backup, .backupdb, .bak, .bar, .bay, .bc6, .bc7, .bdb, .bgt, .big, .bik, .bin, .bkf, .bkp, .blend, .blob, .bmd, .bmp, .bpw, .bsa, .c, .cas, .cdc, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfg, .cfr, .cgm, .cib, .class, .cls, .cmt, .config, .contact, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .css, .csv, .d3dbsp, .dac, .dar, .das, .dat, .dazip, .db, .db0, .db3, .dba, .dbf, .dbx, .db_journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .desc, .design, .dgc, .dir, .dit, .djvu, .dmp, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .easm, .edb, .efx, .eml, .epk, .eps, .erbsql, .erf, .esm, .exf, .fdb, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flf, .flv, .flvv, .forge, .fos, .fpk, .fpx, .fsh, .fxg, .gdb, .gdoc, .gho, .gif, .gmap, .gray, .grey, .groups, .gry, .gsheet, .h, .hbk, .hdd, .hkdb, .hkx, .hplg, .hpp, .htm, .html, .hvpl, .ibank, .ibd, .ibz, .icxs, .idml, .idx, .iff, .iif, .iiq, .incpas, .indb, .indd, .indl, .indt, .inx, .itdb, .itl, .itm, .iwd, .iwi, .jar, .java, .jnt, .jpe, .jpeg, .jpg, .js, .kc2, .kdb, .kdbx, .kdc, .key, .kf, .kpdx, .kwm, .laccdb, .layout, .lbf, .lck, .ldf, .lit, .litemod, .log, .lrf, .ltx, .lua, .lvl, .m, .m2, .m2ts, .m3u, .m3u8, .m4a, .m4p, .m4u, .m4v, .map, .max, .mbx, .mcmeta, .md, .mdb, .mdbackup, .mdc, .mddata, .mdf, .mdi, .mef, .menu, .mfw, .mid, .mkv, .mlb, .mlx, .mmw, .mny, .mos, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mpp, .mpqge, .mrw, .mrwref, .msg, .myd, .nc, .ncf, .nd, .ndd, .ndf, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nvram, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .ogg, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pak, .pas, .pat, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pif, .pkpass, .pl, .plb, .plc, .plt, .plus_muhd, .pmd, .png, .po, .pot, .potm, .potx, .ppam, .ppj, .ppk, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prf, .prproj, .ps, .psafe3, .psd, .psk, .pst, .ptx, .pwm, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qed, .qic, .r3d, .ra, .raf, .rar, .rat, .raw, .rb, .rdb, .re4, .rgss3a, .rim, .rm, .rofl, .rtf, .rvt, .rw2, .rwl, .rwz, .s3db, .safe, .sas7bdat, .sav, .save, .say, .sb, .sd0, .sda, .sdf, .ses, .shx, .sid, .sidd, .sidn, .sie, .sis, .sldasm, .sldblk, .sldm, .sldprt, .sldx, .slm, .snx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stl, .stm, .stw, .stx, .sum, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .t12, .t13, .tap, .tax, .tex, .tga, .thm, .tif, .tlg, .tor, .txt, .upk, .v3d, .vbox, .vcf, .vdf, .vdi, .vfs0, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .vob, .vpk, .vpp_pc, .vtf, .w3x, .wab, .wad, .wallet, .wav, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x11, .x3f, .xf, .xis, .xla, .xlam, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsb3dm, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xxx, .ycbcra, .yuv, .zip, .ztmp

Nakon toga, ransomware traži datoteke koje odgovaraju određenim ekstenzijama i počinje šifrirati datoteke AES-256 enkripcijom. Nakon što je datoteka šifrirana s Popcorn Time, ona dodaje .filock kao svoju ekstenziju. Na primjer, ako je naziv datoteke 'abc.docx' tada bi se promijenio u 'abc.docx.filock'. Kada se zaraza uspješno izvede, pretvara dva base64 niza i sprema ih kao bilješke o otkupnini pod nazivom restore_your_files.html i restore_your_files.txt . Nakon toga, ransomware prikazuje HTML bilješku o otkupnini.

izvor slike: bleepingcomputer.com

Zaštita od Ransomwarea

Iako do sada nije razvijen detektor ili alat za uklanjanje ransomwarea koji bi mogao pomoći korisnicima nakon što su njime zaraženi, korisnicima se preporučuje da poduzmu mjere opreza kako bi izbjegli napad ransomwarea . Najvažnije od svega je napraviti sigurnosnu kopiju vaših podataka . Nakon toga, također možete osigurati sigurno surfanje internetom, omogućiti proširenje za blokiranje oglasa, zadržati autentičan alat za zaštitu od zlonamjernog softvera i također pravovremeno ažurirati softver, alate, aplikacije i programe instalirane na vašem sustavu. Očigledno se morate osloniti na pouzdane alate za isto. Jedan takav alat je Right Backup koji je rješenje za pohranu u oblaku . Pomaže vam da spremite svoje podatke na sigurnost u oblaku uz 256-bitnu AES enkripciju.