PGPCoder (GPCode) – троян-шифровальщик, блокирующий файлы и требующий выкуп. Заражение, шифрование (doc, jpg, rar), инструкции по оплате. Защита от ransomware!
Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Содержание
Введение
PGPCoder или GPCode — это троян, который шифрует файлы на зараженном компьютере и затем требует выкуп за их расшифровку, поведение, известное как программа-вымогатель или криптовирусология.
PGPCoder or GPCode is a trojan that encrypts files on the infected computer and then asks for a ransom in order to release these files, a type of behavior dubbed ransomware or cryptovirology.
Троянский
После установки на компьютер троян создает два ключа реестра: один для обеспечения его запуска при каждой загрузке системы, а второй – для отслеживания прогресса трояна на зараженном компьютере, подсчитывая количество файлов, проанализированных вредоносным кодом. После запуска троян приступает к своей задаче – шифрованию всех файлов на дисках компьютера с расширениями, указанными в его коде, используя цифровой ключ шифрования. К этим расширениям относятся doc, html, jpg, xls, zip и rar. Завершением шантажа является создание трояном текстового файла в каждой папке с инструкциями для жертвы. Указан адрес электронной почты, по которому пользователям предлагается запросить расшифровку файлов после уплаты выкупа в размере 100–200 долларов на счет e-gold или Liberty Reserve.
Once installed on a computer, the trojan creates two registry keys: one to ensure it is run on every system startup, and the second to monitor the progress of the trojan in the infected computer, counting the number of files that have been analyzed by the malicious code. Once it has been run, the trojan embarks on its mission, which is to encrypt, using a digital encryption key, all the files it finds on computer drives with extensions corresponding to those listed in its code. These extensions include doc, html, jpg, xls, zip, and rar. The blackmail is completed with the trojan dropping a text file in each directory, with instructions to the victim of what to do. An email address is supplied through which users are supposed to request for their files to be released after paying a ransom of $100–200 to an e gold or Liberty Reserve account.
Усилия по борьбе с трояном
Несколько вариантов Gpcode были успешно реализованы, однако многие из них содержат уязвимости, позволяющие пользователям восстановить данные без уплаты выкупа. Первые версии Gpcode использовали разработанную самостоятельно процедуру шифрования, которую легко взломать. Вариант Gpcode.ak записывает зашифрованный файл в новое местоположение и удаляет исходный незашифрованный файл, что позволяет программам восстановления удаленных файлов восстановить часть данных. После обнаружения нескольких пар зашифрованных и незашифрованных файлов это иногда предоставляет достаточно информации для расшифровки других файлов. Вариант Gpcode.am использует симметричное шифрование, что значительно упрощает восстановление ключа. В конце ноября 2010 года была обнаружена новая версия – Gpcode.ax. Она использует более надежное шифрование (RSA 1024 и AES 256) и физически перезаписывает зашифрованные файлы, что делает восстановление практически невозможным. Лаборатория Касперского установила контакт с автором программы и подтвердила его подлинность, но пока не удалось установить его настоящую личность.
While a few Gpcode variants have been successfully implemented, many variants have flaws that allow users to recover data without paying the ransom fee. The first versions of Gpcode used a custom written encryption routine that was easily broken. Variant Gpcode. ak writes the encrypted file to a new location, and deletes the unencrypted file, and this allows an undeletion utility to recover some of the files. Once some encrypted+unencrypted pairs have been found, this sometimes gives enough information to decrypt other files. Variant Gpcode. am uses symmetric encryption, which made key recovery very easy. In late November 2010, a new version called Gpcode. ax was reported. It uses stronger encryption (RSA 1024 and AES 256) and physically overwrites the encrypted file, making recovery nearly impossible. Kaspersky Lab has been able to make contact with the author of the program, and verify that the individual is the real author, but have so far been unable to determine his real world identity.