• 2013-12-18 00:55 Copycat Ransomware “Locker” Emerges
• 2013-12-18 16:41 Trojan.BtcMine.218 раскрывает имя своего создателя
• 2013-12-19 07:05 Emsisoft Update Cleans Up Database and Identifies Over 6000 New PUPs

Антивирусный "хостинг"

Клуб пользователей антивирусных услуг (Saas, Cloud)

KMM поделился ссылкой

Copycat Ransomware “Locker” Emerges

Probably the hottest new development in malware this year has been the widespread emergence of ransomware.  As the name implies, ransomware is a form of malware that takes your computer hostage and demands you pay a ransom before it sets the computer free.   In late 2013, the ransomware CryptoLocker emerged as a major new threat with an ingenious albeit malicious design.

CryptoLocker worked its way onto computers through a Trojan attachment that hid the fact it was an executable.  It then installed itself as an anonymous file in your Documents and Settings Folder, and proceeded to encrypt important files throughout your local or mapped network drive.  Encrypted files would be locked and held for ransom, and CryptoLocker would notify you of the situation by presenting an ultimatum on screen.

PAY $300 IN THE NEXT 72 HOURS OR YOU WILL NEVER SEE YOUR FILES AGAIN!

According to reports, payment would then supply users with access to CryptoLocker’s software, which supposedly unencrypted the files and returned them safely to the user.  Estimates state that only about 3% of users actually paid, and of this minority even fewer actually got their files back.  Most experts have agreed that CyptoLocker is essentially unbreakable, and part of the reason is that many variants demanded Bitcoin payment, which allowed CryptoLocker’s creators to operate in anonymity.

Copycat Locker

Just last week, a new type of ransomware called Locker emerged across the United States and Europe.  Based off of CryptoLocker, Locker is decidedly less advanced but still surprisingly infectious.  Locker is spreading via drive-by downloads that once again hide the executable extension and then begin encryption.

With Locker, the encryption process has two new components.  Firstly, Locker copies its hostage files, replaces their extension with .perfect, and then deletes their contents. From there, Locker places a file called contact.txt into each hostage directory.  Contact.txt is readable and usually contains the phone number to a pay-as-you-go mobile phone or the address to an anonymous email, as well as an activation key.

In the end, infected users are prompted to contact the person listed in contact.txt.  Reports have stated that at this point, users are usually met with demands of around $150 to obtain a decryption key to unlock the hostage files.  As with CryptoLocker, chances of actually getting your files back are slim.

The Good News

So far, the good news about Locker is that it is relatively less threatening than CryptoLocker, which used 256-bit encryption combined with other advanced methods to lock files.  In addition, one start-up security software company, IntelCrawler, has already announced effective decryption.

Still, Locker is circulating, and anyone spending any amount of time downloading files on the Internet would do well to keep a cautious eye.  One of the most popular vectors currently in use are files that look like .mp3s but are actually .exes.  So, for those of you still pirating music from less than legitimate sources, watch out!

As for the rest of us, Emsisoft and a bit of discretion should have you covered.

Have a Great (Malware Free) Day!

Related Posts:

• CryptoLocker – a new ransomware variant
• The ACCDFISA malware family – Ransomware targeting…
• Seriously? USA to legalize rootkits, spyware, ransomware and
• Ransomware – The no. 1 threat for 2013
• Viruses that went Viral: Conficker

KMM поделился ссылкой

Trojan.BtcMine.218 раскрывает имя своего создателя

18 декабря 2013 года

Компания «Доктор Веб» — российский производитель антивирусных средств защиты информации — сообщает о появлении вредоносной программы Trojan.BtcMine.218, предназначенной для майнинга (добычи) электронной криптовалюты Bitcoin, и распространяющейся с помощью широко известной вредоносной партнерской программы installmonster.ru. Это уже второй троянец для несанкционированного использования вычислительных ресурсов компьютеров, обнаруженный специалистами «Доктор Веб» в декабре 2013 года.

Мониторинг партнерской программы по монетизации файлового трафика Installmonster.ru в очередной раз подтвердил её вредоносный характер. В начале декабря в раздаче этой партнерской программы был замечен файл SmallWeatherSetup.exe, якобы представляющий собой «погодный тулбар». Известно и одноименное вполне безобидное приложение, действительно способное демонстрировать актуальную информацию о погоде, однако вариант, предлагаемый партнерской программой Installmonster.ru, содержит совсем небезопасное «дополнение».

В данном случае мы имеем дело с классическим троянцем-дроппером, написанным на макроязыке AutoIt. Код скрипта достаточно прост и понятен, при этом он содержит две характерные строки:

FILEINSTALL("C:\Users\Antonio\Desktop\Glue\SmallWeatherSetup.exe", @TEMPDIR & "\Setup_1.exe")
FILEINSTALL("C:\Users\Antonio\Desktop\Glue\Install.exe", @TEMPDIR & "\Setup_2.exe")

Из этих строк становится очевидно, что пользователь, скрывающийся под псевдонимом Antonio, собрал на Рабочем столе своего компьютера дроппер, включающий два приложения: безобидный «погодный информатор» SmallWeatherSetup.exe и вредоносную программу в файле Install.exe. Приложение Install.exe представляет собой загрузчик основного троянского компонента, который, используя конфигурационный файл в формате XML, скачиваемый с сайта злоумышленников http://bitchat.org, устанавливает на инфицированный компьютер приложение для добычи (майнинга) криптовалюты. В конфигурационном файле содержится логин пользователя, в чью пользу троянец расходует аппаратные ресурсы компьютера жертвы, — tonycraft.

В качестве приложения для добычи криптовалюты используется программа, известная под именем cpuminer (Tool.BtcMine.130), однако на зараженной системе она работает под именем %APPDATA%\Intel\explorer.exe. Для обеспечения автоматического запуска троянская программа модифицирует соответствующую ветвь системного реестра Windows:

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Intel(R) Common User Interface"="%APPDATA%\Intel\Intel.exe"

По всей видимости, Antonio (Tony) не слишком искушен в вопросах программирования, поскольку разработку вредоносной программы он поручил другому человеку, который и написал основные модули троянца. Об этом говорит символьная информация, оставленная в модулях троянца, например: "c:\Users\Кошевой Дмитрий\Documents\Visual Studio 2012\Projects\Miner\Instal\obj\Debug\Instal.pdb".

С помощью элементарного поиска без труда находится страница в социальной сети «ВКонтакте», где пользователь с ником Tonycoin приглашает всех на свой «обновленный чат-сайт bitchat.org»:

Кроме того, без труда отыскиваются страницы, где тот же пользователь рекламирует своего троянца под видом приложения SmallWeatherSetup.exe:

В настоящее время вирусописатель "Кошевой Дмитрий" неустанно продолжает модифицировать свою поделку для обхода сигнатурного детекта, а Tony переключился с "Погодного Информера" на распространение приложения "Интернет Радио" в виде файла с именем ScreamerRadio.exe.

К слову, на днях в партнерской программе InstallMonster появился новый "рекламодатель", устанавливающий пользователям программу RadioOnline.exe, которая, как нетрудно догадаться, представляет собой всё тот же Trojan.BtcMine.218. Вредоносная программа Trojan.BtcMine.218 распознается и успешно удаляется ПО Dr.Web и потому не представляет опасности для пользователей нашего антивируса.

KMM поделился ссылкой

Emsisoft Update Cleans Up Database and Identifies Over 6000 New PUPs

This week, Emsisoft releases an update that optimizes our extensive signature database and identifies over 6000 new PUPs!  What is a PUP, you say? Well, it’s not a canine and it’s not quite malware either.  A PUP is a potentially unwanted program that can slow down your computer.  These days, most PUPs come bundled in freeware and many users are unaware of the fact that they’re even installing them.

Fortunately, our dedicated tech-team made it their personal mission to identify a massive collection of some of the newest and most intrusive PUPs around.  In the end, all their hard work has re-optimized Emsisoft’s signature database and led to an enhanced experience for Emsisoft users the world around.

Those of you running already running a paid version of Emsisoft will be happy to hear that the update will be automatically installed, free of charge.

Those interested in learning about everything that went into this new update are encouraged to read on here!

Related Posts:

• Innovations to Emsisoft Anti-Malware 8.1
• Vernieuwingen in Emsisoft Anti-Malware 8.1
• Emsisoft Anti-Malware 8.0 released!
• Emsisoft Emergency Kit 4.0 released!
• How many viruses are made by anti-virus companies?