Показано с 1 по 1 из 1.

Лаборатория Касперского может расшифровать файлы, зашифрованные MarsJoke

  1. #1
    Administrator Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Репутация Аватар для olejah
    Регистрация
    08.03.2010
    Адрес
    Россия, Краснодар
    Сообщений
    11,037
    Вес репутации
    1254

    Лаборатория Касперского может расшифровать файлы, зашифрованные MarsJoke

    Недавно обнаруженный шифровальщик MarsJoke, как оказалось, имеет слабость в алгоритме шифрования. Это позволило экспертам Лаборатории Касперского создать дешифратор, чтобы помочь пользователям расшифровать файлы бесплатно.

    Этот вымогатель был впервые обнаружен в августе, а привлек к себе внимание на прошлой неделе, когда была замечена крупная кампания по его распространению. MarsJoke, также известный как Polyglot, копирует ранее обнаруженный CTB-Locker и атакует главным образом государственные учреждения и учебные заведения.

    MarsJoke/ Polyglot распространяется через спам-письма, в которых содержится либо ссылка на вредоносный файл, либо во вложении прикреплен исполняемый файл или RAR-архив. Сразу после заражения вымогатель копирует себя сразу в несколько мест и записывается в папку Автозагрузка и в Планировщик задач (TaskScheduler).

    В процессе шифрования вредонос не изменяет имя зашифрованных файлов, но делает их содержание недоступным для пользователей. После того, как файлы зашифрованы, вымогатель меняет обои рабочего стола (уникальные для каждой жертвы) и выводит сообщение с требованиями. Как объясняют исследователи Лаборатории Касперского, злоумышленники позволяют пользователям расшифровать несколько файлов бесплатно.

    Пользователям нужно будет заплатить выкуп в биткоинах. Шифровальщик связывается с командным центром, расположенным в сети Tor, чтобы получить информацию о сумме выкупа и адресе, на который сумма должна быть переведена. Если оплата не будет произведена в течение определенного периода времени, вредоносная программа уведомляет пользователя о том, что файлы уже не могут быть расшифрованы.

    Проанализировав MarsJoke, эксперты пришли к выводу, что он имитирует все особенности CTB-Locker, включая графический интерфейс, обои рабочего стола и последовательность действий. Однако код у них разный, говорят исследователи.

    Дальнейший анализ показал, что вредоносная программа выполняет трехступенчатое шифрование: он помещает файл в защищенный паролем ZIP-архив с именем исходного файла и расширением "A19"; шифрует архив с алгоритмом ECB AES-256 и меняет расширение на "ap19"; удаляет исходный файл и A19 архив и меняет расширение на то, что было у исходного файла.

    Вымогатель генерирует отдельный AES-ключ для каждого файла, каждый ключ основан на случайно сгенерированном массиве символов. Слабая реализация генератора привела к тому, что ключи оказалось легко подобрать.

    Хотя полученный файл представляет собой архив, защищенный паролем, исследователи обнаружили, что этот пароль также слаб. Ключ всего 4 байта и эти байты были выбраны из строки MachineGuid, уникального идентификатора, который операционная система присваивает компьютеру.

    Возможности расшифровки файлов, зашифрованных MarsJoke уже были включены в утилиту Лаборатории Касперского RannohDecryptor.

  2. Реклама
     

Похожие темы

  1. Ответов: 0
    Последнее сообщение: 28.04.2016, 14:30
  2. Ответов: 2
    Последнее сообщение: 26.08.2015, 21:03
  3. Расшифровать файлы, зашифрованные virusebola
    От onezhanin в разделе Помогите!
    Ответов: 5
    Последнее сообщение: 27.11.2014, 18:01
  4. Как расшифровать зашифрованные файлы?
    От azum23 в разделе Помогите!
    Ответов: 4
    Последнее сообщение: 24.05.2014, 13:05
  5. «Лаборатория Касперского» расшифрует файлы, запароленные троянцем
    От SDA в разделе Новости компьютерной безопасности
    Ответов: 0
    Последнее сообщение: 21.03.2010, 12:54

Свернуть/Развернуть Ваши права в разделе

  • Вы не можете создавать новые темы
  • Вы не можете отвечать в темах
  • Вы не можете прикреплять вложения
  • Вы не можете редактировать свои сообщения
  •  
Page generated in 0.01410 seconds with 18 queries