Erpressungstrojaner LOCKY, Petya, Goldeneye etc.

[gatasa]

Wie Heise Security heute berichtet, hat ein Erpressungstrojaner am Montag, den 15.02.2016 um 15:06 Uhr koordiniert auf verschiedenen Systemen gleichzeitig zugeschlagen.
Zitat:
Locky lauerte vermutlich bereits eine Weile auf den infizierten Systemen, ehe es am vergangenen Montag zeitgleich bei mehreren Opfern mit der Verschlüsselung persönlicher Dateien begonnen hat.
Für die Entschlüsselung erwartet man Bitcoins in Höhe von 360€.

 

[Helios]

Decrypted: The new AutoLocky Ransomware fails to impersonate Locky

A new ransomware was discovered that tries to impersonate the well known Locky ransomware. It calls itself Locky and even adds .Locky to encrypted files, but on closer examination there was definitely something off. First, the ransom note is completely different and it does not utilize Tor for its Command & Control servers. When I dug down farther I saw that it was also created in the AutoIt scripting language rather than Visual C++.

Once Fabian Wosar of Emsisoft saw the decompiled AutoIt script, he quickly found a vulnerability that he could exploit to decrypt those who were affected. Unfortunately, it is unknown at this time how AutoLocky is distributed.

In the article below I will outline how to decrypt your files and provide a brief technical overview of the AutoLocky encryption process. For those who want to see a list of Emsisoft's free ransomware decryptors, you can visit their decryptor page.

Full story: BleepingComputer - Decrypted: The new AutoLocky Ransomware fails to impersonate Locky

 

[Mornsgrans]

Der Erpressungstrojaner TeslaCrypt legt nach:

TeslaCrypt ist einer der erfolgreichsten Krypto-Trojaner. Und die Entwickler werden nicht müde, neue Funktionen einzubauen, die den Opfern das Leben schwer machen. Version 4.1A verschlüsselt mehr Formate und erschwert die Desinfektion des Rechners.
...
Analyse-Tools wie den Process Explorer von SysInternals oder den Task-Manager schießt die neue Version des Schädlings ab.
...
Laut der Analyse wird TeslaCrypt nach wie vor allem über Mails mit Dateianhang verbreitet. Im Anhang befindet sich ein Zip-Archiv, das eine JavaScript-Datei enthält. Es handelt sich dabei um den Downloader Nemucod, der den eigentlichen Schädling nachlädt und ausführt.

Außerdem werden jetzt mehr Dateiformate verschlüsselt - auch Spielstände und .bak - Dateien.
Heise bietet eine Reg-Datei an, die Windows Skripting Host deaktiviert (siehe auch c't 7/16 auf Seite 79). WSH ermöglicht erst das Nachladen des Trojaners.

Siehe auch:
Quelle


Informativ ist auch dieser Artikel bei Heise:

Nuclear Exploit-Kit bombardiert hunderttausende Rechner mit Locky
Ransomware wird im großen Stil über Exploit-Kits verteilt. Sicherheitsforschern ist es jetzt gelungen, ins Backend einer solchen Schadcode-Schleuder einzudringen und Statistiken über die Verbreitung der Trojaner zu sammeln.
...
Aktuell wurden darüber mindestens 140.000 Rechner mit Kryptotrojanern infiziert; allem vorweg mit Locky.
...

 

[Helios]

Hier noch Informationen zu TeslaCrypt 4.1b

TeslaCrypt 4.1b Released with Few Modifications

A quick post that version 4.1b of the TeslaCrypt Ransomware has been released. According to TeslaCrypt research BloodDolly, the first 4.1b sample that he has is dated 4/19/16. After a quick analysis, the changes that were made are:

• Data file renamed to %MyDocuments%\desctop._ini
• Size of recovery file changed to 252 from 264.
• Name of the Run Registry value is now hostslert[6chars]

The ransom notes are still the same with the filenames being in the format -!RecOveR!-[random_chars]++.Png, -!RecOveR!-[random_chars]++.Htm, and -!RecOveR!-[random_chars]++.Txt. There are two new payment gateway hosts, though, located at p23cb.bobodawn.at and y4bxj.adozeuds.com.

Full story: BleepingComputer - TeslaCrypt 4.1b Released with Few Modifications

 

[Helios]

Decrypted: Kaspersky releases free decryptor for CryptXXX Ransomware

When a user is infected with CryptXXX, all of their data will be encrypted and have the .crypt extension appended to the filenames. The ransomware developers would then demand 500 USD or approximately 1.2 bitcoins to get the decryption key. To make matters worse, this ransomware will also attempt to steal your bitcoin wallet and harvest information and credentials related to your FTP client, instant messenger clients, emails, and browsers.

Thankfully, yesterday Kaspersky released a free decryptor for this ransomware.

Full story and download: BleepingComputer - Decrypted: Kaspersky releases free decryptor for CryptXXX Ransomware



Der RannohDecyptor lässt sich auch direkt von der Kaspersky-Seite beziehen:

Kaspersky - Tools zur Virenbekämpfung

- - - Beitrag zusammengeführt - - -

TeslaCrypt 4.2 Released with quite a few Modifications

Version 4.2 of the TeslaCrypt Ransomware has been released according to TeslaCrypt researcher BloodDolly. This version was released yesterday and contains quite a few modifications to how the program runs. The most notable change, though, is the revamp of the ransom note.

Full story: BleepingComputer - TeslaCrypt 4.2 Released with quite a few Modifications

 

[Helios]

Decrypted: Alpha Ransomware continues the trend of accepting Amazon Cards

A new ransomware called Alpha Ransomware was discovered and analyzed this week by Katja Hahn, S!Ri, MalwareHunterTeam, and Michael Gillespie. This ransomware encrypts your data with AES-256 encryption and then demands $400 USD in the Amazon Gift Cards in order to get your files back. Thankfully a decryptor for this infection was able to be created due to a discovered flaw.


This ransomware also continues the strange trend of using Amazon Gift Cards as a ransom payment method. Like TrueCrypter, the acceptance of this type of payment seems foolish as it easily traceable compared to a currency like bitcoins.


Remove and Decrypt .encrypt files from the Alpha Ransomware

The good news is that Michael Gillespie was able to create a decryptor for this ransomware so a victim can get their files back for free. To use this decryptor, simply download it from the following link and execute it: https://download.bleepingcomputer.com/demonslay335/AlphaDecrypter.zip

Once executed, the decryptor screen will open and you can select the C: drive and then decrypt your files.

Full story - BleepingComputer: Decrypted: Alpha Ransomware continues the trend of accepting Amazon Cards
http://www.bleepingcomputer.com/new...nstall-ransomware-through-jscript-installers/

 

[Helios]

Regsvr32 can be used to install Ransomware through Jscript Installers

A security researcher named Casey Smith published an article last week where he detailed how the Windows Regsvr32.exe command could be used to bypass AppLocker restrictions. In this article he described a not commonly known feature where Regsvr32 can execute specially crafted scripts on a remote host using a URL. These scripts are XML files that contain embedded Jscript or VBScript scripts that will be executed when Regsvr32 runs the script.

This obviously leads to a whole mess of possibilities where an attacker can do very bad things to your computer as long as they have access to it. Unfortunately, there are many ways for an attacker to gain access to a computer, whether it be through an exploit kit or a vulnerability.

Full story and solution: BleepingComputer - Regsvr32 can be used to install Ransomware through Jscript Installers

 

[Helios]

Krypto-Trojaner - Teslacrypt hört auf und veröffentlicht Master-Key

Teslacrypt hört auf und veröffentlicht Master-Key

Lange Zeit hatte die Ransomware Teslacrypt, die mittlerweile in der vierten Version im Umlauf ist, ihre Opfer fest im Griff und sorgte so für viel Ärger. Nun aber stellen die Hintermänner die Verbreitung ein und haben den Master-Schlüssel veröffentlicht, mit denen sich alle Dateien entschlüsseln lassen.

Quelle: ComputerBase.de: Krypto-Trojaner - Teslacrypt hört auf und veröffentlicht Master-Key

 

[Mornsgrans]

Erpressungs-Trojaner TeslaCrypt gibt auf: Master-Schlüssel veröffentlicht

Die Drahtzieher hinter TeslaCrypt haben den Stecker gezogen und den Master-Schlüssel in Umlauf gebracht: Opfer der Ransomware können nun ohne Lösegeld zu zahlen wieder Zugriff auf ihre Daten bekommen.

Der Erpressungs-Trojaner TeslaCrypt ist Geschichte. Das teilen die Hintermänner der Ransomware auf ihrer Webseite zum Bezahlen des Lösegelds mit. Dort wurde auch der Master-Schlüssel veröffentlicht, der alle von TeslaCrypt als Geisel genommen Daten befreit, berichten Sicherheitsforscher von Bleepingcomputer.
...

Quelle

Bei Bleepingcomputer ist der Masterkey veröffentlicht:

 

[Fickle]

Erpressungs-Trojaner TeslaCrypt gibt auf: Master-Schlüssel veröffentlicht

Quelle

Bei Bleepingcomputer ist der Masterkey veröffentlicht:

vielen Dank für diese gute Nachricht!

 

[Mornsgrans]

vielen Dank für diese gute Nachricht!

Betraf ja nur EIN Ransomware-"Projekt".

Inzwischen hat sich wieder in den letzten Tagen einiges getan, was bei Heise nachglesen werden kann:

20.06.16

Erpressungs-Trojaner RAA kommt mit Passwort-Dieb im Huckepack daher

Der Computer-Schädling RAA soll nicht nur Daten als Geisel nehmen und ein Lösegeld verlangen, sondern auch einen Trojaner mitbringen, der Passwörter abgreift.

Die Sicherheitsforscher mit den Pseudonymen JAMESWT_MHT und benkow_ haben den Verschlüsselungs-Trojaner RAA entdeckt und herausgefunden, dass der Schädling zusätzlich einen Trojaner zum Stehlen von Passwörtern auf infizierte Rechner installiert. Davor warnen die Ransomware-Experten von Bleepingcomputer.com...

Quelle

24.06.16

Erpressungs-Trojaner: Neue Locky-Welle infiziert Computer

Wer dieser Tage eine E-Mail mit Dateianhang bekommt, sollte diese noch kritischer als sonst beäugen: Aktuell verbreitet sich der Verschlüsselungs-Trojaner Locky erneut vornehmlich über vermeintliche Bewerbungs-Mails in Deutschland.

Die Ransomware Locky ist offensichtlich im großen Stil zurück und nimmt abermals Daten als Geiseln, um Lösegelder einzufordern. Darauf stießen Sicherheitsforscher von Proofpoint vor wenigen Tagen als sie beobachteten, dass Locky wieder über das Necurs-Botnet verteilt wird. ...

Quelle

28.06.16

Locky-Sprössling: Erpressungs-Trojaner Bart verschlüsselt anders und verlangt hohes Lösegeld

Sicherheitsforscher beobachteten bei der Ransomware Bart eine neue Methode, Daten als Geisel zu nehmen.

Hinter dem neu entdeckten Verschlüsselungs-Trojaner Bart stecken offensichtlich die gleichen Drahtzieher wie hinter Locky, vermuten Kryptologen von ProofPoint. Dafür spricht etwa der Verbreitungsweg; doch bei der Verschlüsselung geht Bart neue Wege.

Wie Locky, versucht auch Bart potentielle Opfer unter Windows über gefälschte E-Mails dazu zu bringen, den Datei-Anhang zu öffnen. Geschieht dies, komme den Sicherheitsforschern zufolge der auch bei Locky verwendete RockLoader zum Einsatz, um die Malware via HTTPS auf Computer zu schleusen. Zudem ähneln sich die Erpresser-Botschaft und die Zahlungs-Webseite. ...

Die Erpresser von Bart fordern Opfer auf, ein Lösegeld von drei Bitcoin (rund 1700 Euro) zu zahlen; bisher waren 0,5 Bitcoin (etwa 300 Euro) ein gängiger Betrag....

Quelle

 

[Helios]

Der Erpressungstrojaner Stampado wurde kürzlich gesichtet. Die Kosten für die Freischaltung der verschlüsselten Dateien kann man sich jedoch aufgrund der fehlerhaften Programmierung des Trojaners getrost sparen.

Fabian Wosar, von Emsisoft, hat einen Decryptor programmiert, welcher Herr über die mit Stampado verschlüsselten Dateien wird.

BleepingComputer - Stampado Ransomware campaign decrypted before it Started

 

[Mornsgrans]

Gratis Entschlüsselungs-Tools nehmen es mit elf Erpressungs-Trojanern auf

AVG und Trend Micro haben ihre kostenlosen Tools aktualisiert, mit denen Opfer von diversen Verschlüsselungs-Trojanern unter Umständen wieder Zugriff auf ihre Daten bekommen können.

Wer sich die Ransomware Bart eingefangen hat, kann seine als Geisel genommen Daten unter gewissen Voraussetzungen ab sofort mit dem gratis Tool Bart decryptor von AVG entschlüsseln. Somit bietet AVG nun mehrere Tools an, die insgesamt sieben Erpressungs-Trojaner bekämpfen. Auch Trend Micro hat seinen kostenlosen Ransomware File Decryptor aktualisiert, der es nun mit zehn Verschlüsselungs-Trojanern aufnimmt.
...

Quelle

 

[Mornsgrans]

No More Ransom: Neues Online-Portal will im Kampf gegen Erpressungs-Trojaner helfen

Verschiedene Unternehmen und Strafverfolgungsbehörden wollen in Zusammenarbeit Opfer von Verschlüsselungs-Trojanern unterstützen, indem sie gebündelt Infos zum Schutz und erste Hilfe für den Ernstfall zur Verfügung stellen.

Europol, Intel Security, Kaspersky Lab und die niederländische Polizei haben sich zusammengeschlossen, um gegen Ransomware vorzugehen. Dreh- und Angelpunkt ist dabei die englischsprachige Webseite www.nomoreransom.org. Dort können Opfer Infos über die Gattung des Erpressungs-Trojaners abrufen und diverse kostenlose Entschlüsselungs-Tools herunterladen, erläutert Kaspersky in einer Pressemitteilung.

Quelle

Kaspersky Pressemitteilung:

...
,No More Ransom‘ [1] ist ein neues Onlineportal, das die Öffentlichkeit zum Thema Ransomware-Gefahren informiert und Opfer bei der Wiederherstellung ihrer Daten unterstützt, ohne dass sie Lösegeld an Cyberkriminelle zahlen müssen.
...
[1] www.nomoreransom.org
...

 

[Helios]

PokemonGo Ransomware installs Backdoor Account and Spreads to other Drives

With the popularity of PokemonGo, it was inevitable that a malware developer would create a ransomware that impersonates it. This is the case with a new Hidden-Tear ransomware discovered by Michael Gillespie that impersonates a PokemonGo application for Windows and targets Arabic victims.

PokemonGo Ransomware Icon

​

On first glance, the PokemonGo ransomware infection looks like any other generic ransomware infection. It will scan a victim's drive for files that have the following extensions:

.txt, .rtf, .doc, .pdf, .mht, .docx, .xls, .xlsx, .ppt, .pptx, .odt, .jpg, .png, .csv, .sql, .mdb, .sln, .php, .asp, .aspx, .html, .xml, .psd, .htm, .gif, .png

When it encrypts a file it will use AES encryption and append the .locked extension to the encrypted file. When done it will display a ransom note that tells the victim to contact me.blackhat20152015@mt2015.com to get payment instructions.

On closer look, it is apparent that this developer has put in extra time to include features that are not found in many, if any, other ransomware variants. These features include adding a backdoor Windows account, spreading the executable to other drives, and creating network shares. It also appears that the developer isn't done yet as the source code contains many indications that this is a development version.

BleepingComputer - PokemonGo Ransomware installs Backdoor Account and Spreads to other Drives

 

[Helios]

Check Point releases working Decryptor for the Cerber Ransomware

For those who have been affected by the Cerber Ransomware and decided not to pay the ransomware, we have good news for you! Today, Check Point released a decryption service for the Cerber Ransomware version 1 and version 2 that allows victims to recover their computer's decryption key and decrypt their files for free. The files types that can be decrypted by this ransomware are those that end with .CERBER and .CERBER2 extensions.

BleepingComputer - Check Point releases working Decryptor for the Cerber Ransomware

 

[Helios]

New Alma Locker Ransomware being distributed via the RIG Exploit Kit

A new ransomware called Alma Locker has been discovered by Proofpoint​ researcher Darien Huss that encrypts a victim's data and then demands a ransom of 1 bitcoin within five days. There has been a lot of ransomware released lately, but thankfully most of them have been broken implementations or have had suspended command and control servers. Though Alma Locker still has some bugs in its implementation, it is one of the few released lately that has a working TOR command & control server and a secure encryption algorithm.

Unfortunately, at this time there are no known weaknesses in Alma Locker that can be exploited to decrypt a victim's files for free. With that said, I and others will continue to look for weaknesses and if you have any questions or comments, feel free to post them in the Alma Locker Ransomware Help & Support Topic.

BleepingComputer - New Alma Locker Ransomware being distributed via the RIG Exploit Kit

 

[Helios]

Dutch Police seize WildFire Locker Command and Control Servers. Decryptors Released.

As part of the NoMoreRansom.org initiative, the National High Tech Crime Unit of the Dutch Police was able to seize the Command & Control server for the WildFire Locker ransomware. This allowed them to recover approximately 5,800 decryption keys that were then used by McAfee and Kaspersky to create free decryptors for WildFire victims.

The WildFire Ransomware is an infection that primarily targeted Dutch victims and was distributed in SPAM emails pretending to be shipping information. When a victim opened the attachment, they were instead infected with the WildFire Locker Ransomware.

If you were infected with the WildFire Locker, you can download either Kaspersky's WildFire Decryptor or McAfee's WildFire Decryptor to see if you were lucky enough to have your key recovered. If you are one of the lucky ones, the decryptors should be able to decrypt your encrypted files.

Unfortunately, there have also been reports from victims where the decryptor is not working for them. For these people, their key was not retrieved when the Command & Control servers were seized.

Hopefully, in the future the Dutch Police will be able apprehend the malware developers and retrieve the keys for all of the victims.

BleepingComputer: Dutch Police seize WildFire Locker Command and Control Servers. Decryptors Released.

- - - Beitrag zusammengeführt - - -

Locky / Zepto Ransomware now being installed from a DLL

Over the past few days, the Locky / Zepto developers have switched to using a DLL to install the Locky Ransomware rather than an executable. This is probably being done for further obfuscation and to bypass executable blockers as rundll32.exe is typically white listed.

Locky is still being distributed via JS attachments, which when executed will download an encrypted version of the executable. Once the payload is decrypted to a DLL file it will run it using the following command:

"C:\Windows\System32\rundll32.exe" C:\Users\User\AppData\Local\Temp\MFJY1A~1.DLL,qwerty 323

BleepingComputer: Locky / Zepto Ransomware now being installed from a DLL

 

[Helios]

New FairWare Ransomware targeting Linux Computers

A new attack called FaireWare Ransomware is targeting Linux users where the attackers hack a Linux server, delete the web folder, and then demand a ransom payment of two bitcoins to get their files back. In this attack, the attackers most likely do not encrypt the files, and if they do retain the files, probably just upload it to a server under their control.

Victims have reported that they first learned about this attack when they discovered their web sites were down. When they logged into their Linux servers, they discovered that the web site folder had been removed and a note called READ_ME.txt was left in the /root/ folder. This note contains a link to a further ransom note on pastebin.

BleepingComputer: New FairWare Ransomware targeting Linux Computers

 

[laptopheaven]

Warnung vor diesem Mailinhalt und dieser jungen Dame (die selber sicherlich nichts dafür kann, dass dieses Bild missbraucht wird)

Wer aktuell als Arbeitgeber eine Stelle offen hat, lässt sich schnell verleiten folgende Mail als ernsthafte Bewerbung anzusehen.
Leider hängt im Zipanhang eine Variante der Cerber Ransomware :-(

Hier mal der Text und das dazugehörige Bild der angeblichen Bewerberin
------------------------------------------------------------
Sehr geehrte Damen und Herren,

anbei erhalten Sie meine Bewerbung für Ihre bei der Arbeitsagentur ausgeschriebene Stelle.
Warum ich die Stelle optimal ausfüllen kann und Ihrem Unternehmen durch meine Erfahrung zahlreiche Vorteile biete,
entnehmen Sie bitte meinen ausführlichen und angehängten Bewerbungsunterlagen.

Ich freue mich, wenn ich mich Ihnen noch einmal persönlich vorstellen kann.

Mit freundlichen Grüßen,

Franziska Herrlich
oder auch Anna Liebmann und sicherlich taucht so ein Text auch mit noch mehr Namen auf
--------------------------------

Hier das dazugehörige Bild was ebenfalls gleich auftaucht und Vertrauen erwecken soll


Also nochmal die Warnung: Wer diese Dame im Mailanhang findet öffnet AUF KEINEN FALL, NIE-NIMMER-NICHT DEN DATEIANHANG, denn
dort findet sich ein .js File welches danach die Cerber Ransomware herunterläddt und sofort ausführt !!!!!!
Ansonsten sind ohne entsprechenden Antivirus die Dateien in kürzester Zeit verschlüsselt.
Allerdings haben die Dateien eine andere Endung als .cerber

Ob man die Dateien wieder entschlüsseln kann, kann ich noch nicht sagen, denn komischerweise gibt es die oben angeführte Seite von Checkpoint nicht mehr ?
Es taucht immer "Server not found auf"...

 

[Aviator]

Wer darauf reinfällt hat es aber auch nicht anders verdient. Bewerbungsunterlagen im Javascript-Format? Da müssen doch alle Alarmsensoren klingeln. Oder ist die .js-Datei in eine Zip-Datei verpackt?