Dopo la scoperta da parte del C.R.A.M. (Centro Ricerche Anti-Malware) di TG Soft, lo scorso 25 settembre 2015, della prima variante di
Trojan.Win32.CryptoFF classificata come .A, essendo la capostipite della famiglia, e che un paio di settimane dopo, il 9 ottobre 2015, è stata ritrovata cricolante una secondo variante classificata come
Trojan.Win32.CryptoFF.B, oggi 11 dicembre i ricercatori del C.R.A.M. hanno scoperto una nuova variante classificata come
Trojan.Win32.CryptoFF.C
I documenti crittati da Trojan.Win32.CryptoFF.C sono riconoscibili dall'estensione .1999
Il file analizzato "
216.tmp" è stato recuperato dai file temporanei di un computer colpito dal
Trojan.Win32.CryptoFF.C
Non abbiamo informazioni sufficienti per risalire al modo di propagazione utilizzato.
File name: 216.tmp
MD5: efb80d07d49ca43d53eb8eb9cd97ce21
Dimensione: 203264 byte
Time Stamp (header): 10/12/2015 - 22.29.17
Quando viene eseguito il file infetto,
immediatamente il malware inizia a cercare i file da criptare.
Quando trova la sua prima vittima, esegue le seguente operazioni:
- apre il file da criptare
- esegue le operazioni di criptazione
- rinomina il file in ".1999"
I primi 64 KB dei documenti saranno criptati da
Trojan.Win32.CryptoFF.C
Se il file è inferiore ai 64 KB, allora tutto il documento sarà criptato.
L'algortimo utilizzato per la criptazione è l'AES a 256 bit.
Nel codice virale vi è presente un bug nella criptazione dei file con dimensione inferiore ai 64 KB, nel caso di decriptazione questi file potranno essere corrotti nella parte finale.
In ogni cartella vengono creati 2 files:
- SECRETISHERE.KEY (dimensione 1.368 byte)
- HELLOTHERE.TXT (dimensione 1.015 byte)
Il file "
SECRETISHERE.KEY" contiene una chiave in UUencode, che decodificata si ottiene una chiave da 1024 byte.
Il file "
HELLOTHERE.TXT" contengono le istruzioni per recuperare i file che riportiamo di seguito:
|
Hello.
All your files have been encrypted using our extremely strong private key. There is no way to recover them without our assistance. If you want to get your files back, you must be ready to pay for them. If you are ready to pay, then get in touch with us using a secure and anonymous p2p messenger. We have to use a messenger, because standard emails get blocked quickly and if our email gets blocked your files will be lost forever. So…
Go to http://bitmessage.org/, download and run Bitmessage. Click Your Identities tab, then click New, then click OK. Then click Send tab.
TO: BM-NByDti9xJ9NcFShLaBfE1fkAW8uk51WQ
SUBJECT: name of your PC or your IP address.
MESSAGE: Hi, I am ready to pay.
Click Send button.
You are done.
To get the fastest reply from us with all further instructions, please keep your Bitmessage running on the computer all the time, if possible. If you cooperate and follow the instructions, you will get all your files back intact and very, very soon. Thank you.
|
Al termine della crittografazione di tutti i file di documenti del disco rigido viene visualizzata al centro dello schermo la seguente immagine:
Il
Trojan.Win32.CryptoFF.C cancella le shadow copy con il seguente comando:
cmd.exe /Q /C vssadmin.exe delete shadows /all /quiet
Rimozione:
VirIT versione 8.0.66 e successive.
Analisi a cura dell'ing. Gianfranco Tonello
C.R.A.M. Centro Ricerche Anti Malware by TG Soft
