Die Antivirenfirma TrendMicro hat eine Mutation des Verschlüsselungstrojaners CryptoLocker gesichtet, die sich unter anderem über Wechseldatenträger verbreitet. Die Variante WORM_CRILOCK.A verschlüsselt nicht nur das digitale Hab und Gut des Nutzers, sie legt zudem eine Kopie ihrer selbst auf allen Wechseldatenträgern ab, die sie finden kann. Ihren Zwillingen verpasst die Malware dabei den vielversprechenden Namen setup.exe. Sind weitere ausführbare Dateien auf dem Speichermedium, werden sie durch gleich benannte Kopien der Malware ersetzt.
Während die bisher gesichteten Varianten ihre Command-and-Control-Server (C&C-Server) erreichten, indem sie Domainnamen nach einem fest einprogrammierten Muster generierten, enhältt WORM_CRILOCK.A fest einkodierte Adressen. Die Unterschiede können laut TrendMicro ein Indiz dafür sein, dass die Variante nicht von den ursprünglichen Entwicklern stammt, sondern das Werk von Trittbrettfahren ist. Während bei den bisherigen Varianten zunächst ein Dropper auf dem zu infizierenden System gestartet wurde, der die eigentliche Malware nachgeladen hat, wird die neue Variante vor allem über Tauschbörsen verteilt. Dabei ist sie unter anderem als Aktivierungstool für Photoshop, Microsoft Office 2013 und Windows getarnt.
CryptoLocker sucht auf dem infizierten System nach Dateien mit insgesamt 69 Endungen – Fotos, Dokumente, Präsentationen, Musik; also alles, was dem Besitzer lieb und teuer ist. Die Dateien verschlüsselt die Malware mit einem 1024 Bit langen RSA-Schlüssel. Den zur Entschlüsselung nötigen Private Key lassen sich die Cyber-Erpresser gut bezahlen. Das Lösegeld wird in Bitcoins an eine angezeigte Adresse gezahlt. Wer keine Backups hat, der muss in den sauren Apfel beißen.
Die Virenjäger von Malware Must Die berichten unterdessen vor einem weiteren Trittbrettfahrer, der einen Verschlüsselungstrojaner namens "Prison Locker" oder auch "Power Locker" in einem Untergrundforum zum Kauf anbietet. Die Schadsoftware kostet 100 US-Dollar und soll gegenüber CryptoLocker sogar noch einen drauf setzen, indem sie RSA-Schlüssel mit einer Länger von 2048 Bit benutzt. Die Ransomware soll Admin-Werkzeuge wie Taskmanager, Registrierungseditor und auch msconfig.exe blockieren, um ihrem Opfer die Desinfektion des Rechner zu erschweren. Welche Summe der Schädling erpressen soll, kann der Käufer angeblich frei einstellen.
Quelle: heise
Während die bisher gesichteten Varianten ihre Command-and-Control-Server (C&C-Server) erreichten, indem sie Domainnamen nach einem fest einprogrammierten Muster generierten, enhältt WORM_CRILOCK.A fest einkodierte Adressen. Die Unterschiede können laut TrendMicro ein Indiz dafür sein, dass die Variante nicht von den ursprünglichen Entwicklern stammt, sondern das Werk von Trittbrettfahren ist. Während bei den bisherigen Varianten zunächst ein Dropper auf dem zu infizierenden System gestartet wurde, der die eigentliche Malware nachgeladen hat, wird die neue Variante vor allem über Tauschbörsen verteilt. Dabei ist sie unter anderem als Aktivierungstool für Photoshop, Microsoft Office 2013 und Windows getarnt.
CryptoLocker sucht auf dem infizierten System nach Dateien mit insgesamt 69 Endungen – Fotos, Dokumente, Präsentationen, Musik; also alles, was dem Besitzer lieb und teuer ist. Die Dateien verschlüsselt die Malware mit einem 1024 Bit langen RSA-Schlüssel. Den zur Entschlüsselung nötigen Private Key lassen sich die Cyber-Erpresser gut bezahlen. Das Lösegeld wird in Bitcoins an eine angezeigte Adresse gezahlt. Wer keine Backups hat, der muss in den sauren Apfel beißen.
Die Virenjäger von Malware Must Die berichten unterdessen vor einem weiteren Trittbrettfahrer, der einen Verschlüsselungstrojaner namens "Prison Locker" oder auch "Power Locker" in einem Untergrundforum zum Kauf anbietet. Die Schadsoftware kostet 100 US-Dollar und soll gegenüber CryptoLocker sogar noch einen drauf setzen, indem sie RSA-Schlüssel mit einer Länger von 2048 Bit benutzt. Die Ransomware soll Admin-Werkzeuge wie Taskmanager, Registrierungseditor und auch msconfig.exe blockieren, um ihrem Opfer die Desinfektion des Rechner zu erschweren. Welche Summe der Schädling erpressen soll, kann der Käufer angeblich frei einstellen.
Quelle: heise
