Trojan estorsore...

[qwer1981]

Troj/Ransom-A è un nuovo trojan, segnalato in questi giorni da Sophos, che a differenza dei suoi simili, una volta infettata la macchina assume un comportamento insolito.

Minaccia di cancellare un file ogni 30 min se non viene pagato un riscatto di 10,99 $ presso un conto della Western Union Bank

Il livello di propagazione fin ora è basso e non è stato rilasciato nessun dettaglio sui metodi che il trojan utilizza per diffondersi.

Lavora solo su sistemi Windows e non appena eseguito genera immediatamente un file winstart.exe nella cartella "Esecuzione Automatica" e altri file nella cartella principale Windows:

svchost.exe - data3.exe - 009.exe - 008.exe - 007.exe - 006.exe - 005.exe - 004.exe - 002.exe

Mentre nella cartella di sistema (system32) aggiunge il file corpstats.exe al seguente percorso:

\oobe\setup\corpstats.exe

Che verrà richiamato all'avvio dal registro di sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Windows\CurrentVersion\RunOnceEx

percorso in cui è stato aggiunto il file corpstats.exe

Messaggio visualizzato all'avvio. La minaccia:

"Deleted files are going to be saved into a hidden directory and replaced during uninstallation." "(1) files are being deleted every 30 minutes"

In seguito appare una Immagine a sfondo pornografico seguita da questo messaggio (cerca di aiutare la vittima fornendo istruzioni via e-mail nel caso in cui, a pagamento avvenuto, la procedura per sbloccare il sistema non dovesse funzionare):

environment locked windows locked listen up muthafucka is this computer valuable. it better not be. is this a business computer. it better not be. do you keep important company records or files on this computer.you'd better hope not. because there are files scattered all over it tucked away in invisible hidden folders undetectable by antivirus sofware the only way to remove them and this message is by a CIDN number This X.aip will load everytime you start windows scattering more and more copies of iteslf until your computer is fried to a pulp. until then you may even noteice other programs missing critical files. How to Remove it Simple. you must receive a CIDN: number from Western Union go to Western union, fill out the grey form labelled "SwiftPay" pay $10.99 as your customer access number enter "4 8 7 0 9 3 0 1 0 1 3 0 8 6 9 7" you may sign any name, i.e John Doe. and wait for a receipt from the clerk. Look on the top right-hand corner of the receipt for a number that starts with CIDN: i.e CIDN: 203-093-1903 comback to this computer an enter your CIDN number. The uninstall process will begin. note: if you don't pay exactly $10.99 you will generate an invalid CIDN number and be forced to start all over. If you have a valid CIDN: Number and have problems uninstalling send a reuqest to [email protected] I will research the problem and if applicable send a alternate CIDN: universal key by email.

Se si tenta di terminare il processo premendo CTRL+ALT+CANC, appare una immagine con il seguente messaggio:

Yeah, We don't die, We multiply! Ctrl+Alt+Del isn't quite working today, is it? I'm not the sharpest tool in the shed but Crtl+Alt+Del is everyone's S.O.S

Soluzione: Se siete stati infettati seguite le istruzioni che Sophos ha riportato su questa pagina, in ogni caso aggiornate il vostro software antivirus.

[Stev-O]

ah modalità provvisoria e hijack oppure eliminazione a mano da bartpe

[lisca]

è come hai fatto ad individuarlo ?
con quale programa ?
grazie

[ciskje]

Originariamente inviato da Stev-O

ah modalità provvisoria e hijack oppure eliminazione a mano da bartpe

ciao scusa ma mi ha incuriosito il discorso eliminazione a mano da bartpe che intendi dire?io l'ho usato poco solo x crearmi un disco x ripristino

[eraser]

peccato solamente che nessuna delle routine distruttive elencate nel messaggio del ransomware funzionino

[Stev-O]

Originariamente inviato da ciskje

ciao scusa ma mi ha incuriosito il discorso eliminazione a mano da bartpe che intendi dire?io l'ho usato poco solo x crearmi un disco x ripristino

bartpe in pratica è un so windows che gira direttamente su cd
quindi non avvia alcun file critico e registro e si può rimuovere ogni file dannoso senza impedimenti o "ritorni"

[ciskje]

ok grazie x la risposta