Spora – uwaga na groźny ransomware offline!

10 lutego 2017 Redakcja Conowego.pl 116 Views Brak komentarzy

Spora została wykryta przez właścicieli witryny D Ransomware. O istnieniu wirusa poinformował na Twitterze MalwareHunterTeam. Specjaliści zajmujący się malwarem, a także użytkownicy Twittera, byli zaskoczeni profesjonalną stroną autorów ransomware oraz nietypowym sposobem rozliczaniem okupu. Jednak najgorsze jest to, że Spora potrafi szyfrować pliki w trybie offline (bez połączenia z Internetem).

Spora to wirus typu ransomware dystrybuowany za pośrednictwem załączników. Każdy złośliwy email zawiera plik HTA, który po wykonaniu rozpakowuje plik JavaScript („closed.js”), umieszczając go w folderze systemowym „%Temp%”. Plik JavaScript wypakowuje plik wykonywalny z losową nazwą i uruchamia go. Plik wykonywalny następnie zaczyna szyfrować pliki za pomocą szyfrowania RSA. W odróżnieniu innych wirusów typu ransomware, Spora nie zmienia nazwy zaszyfrowanych plików i skupia się tylko na kilku rozszerzeniach.  Wspomniany plik HTA rozpakowuje również plik DOCX. Jest on uszkodzony i podczas próby otwarcia, pojawia się komunikat o błędzie. To celowe działanie wprowadzające w błąd użytkownika,  któremu wydaje się, że pobieranie załącznika zakończyło się fiaskiem. Następuje szyfrowanie, a wirus wytwarza pliki .key oraz .html i umieszcza je w folderach zawierających zaszyfrowane dokumenty.

Szyfrowanie

Spora stosuje nietypowy mechanizm szyfrowania. Malware zawiera publiczny klucz RSA, ale nie wykorzystuje go do szyfrowania plików przechowywanych na komputerze ofiary. Natomiast używa go do zaszyfrowania unikalnego klucza AES, który jest generowany zawsze lokalnie na komputerze ofiary.

Jeśli ofiara zdecyduje się  zapłacić okup, wysyła zaszyfrowany klucz AES do strony internetowej wskazanej przez napastnika. Ten wykorzystuje wtedy prywatny klucz RSA do odszyfrowania klucza AES i odsyła go z powrotem w tej postaci do ofiary. W ten sposób pliki zostają odszyfrowane.

Poniższa tabela pokazuje wysokość opłat za rozszyfrowanie plików.

Specyficzne zachowania Spora

Spora nie potrafi ominąć UAC – czyli kontroli konta użytkownika. Oznacza to, że użytkownik zostanie zapytany, czy złośliwe oprogramowanie może dokonać zmian w używanym komputerze.

Spora usuwa „shadow volume copies”, co uniemożliwia systemowi Windows naprawianie błędów systemu podczas kolejnego uruchomienia.

Lista zainfekowanych plików

Źródło: GDATA

Udostępnij ten wpis: