STOP Djvu Ransomware
STOP-ransomware-familien, også denomineret STOP Djvu Ransomware-familien, er et truende stykke malware. STOP Djvu er blot en af de mange trusler, der deler fælles karakteristika og stammer fra STOP-ransomware, selvom nogle af deres metoder til at påvirke filtyper og kryptere filudvidelser er forskellige.
Den originale STOP Ransomware blev set af sikkerhedsforskere så tidligt som i februar 2018. Siden da har den dog udviklet sig, og dens familie af kloner og offshoots er vokset. Den primære metode til distribution af STOP-ransomware var spam-e-mail-kampagner ved hjælp af beskadigede vedhæftede filer.
STOP Djvu-ransomware fungerer på en måde, der ligner andre ransomware-trusler af sin art, kryptering og blokering af adgang til nøglefiler, som brugerne muligvis bruger i deres system. Personlige filer, billeder, dokumenter og mere kan krypteres og i det væsentlige deaktiveres for alle brugere på maskinen. STOP Djvu ransomware blev først set i december 2018 i det, der syntes at være en ret vellykket infektionskampagne online. Forskere var uvidende om, hvordan ransomware spredte sig, men senere rapporterede ofre, at de opdagede infektioner, efter at de havde downloadet keygens eller revner. Når infiltrationen har fundet sted, ændrer STOP Djvu ransomware Windows-indstillingerne og tilføjer filer med en række navne, såsom .djvu, .djvus, .djvuu, .uudjvu, .udjvu eller .djvuq og de seneste .promorad og .promock-udvidelser. De nyere versioner har endnu ikke en decryptor, men de ældre kan dekrypteres ved hjælp af STOPDecrypter. Brugere rådes til at undgå at betale løsesum, uanset hvad.
Metoden, der bruges til at blokere adgang til filerne, bruger RSA-krypteringsalgoritmen. Selvom dekryptering af filerne kan virke hårdt for uerfarne brugere, er der absolut ingen grund til at gøre noget for at betale folkene bag truslen. Der gives normalt falske løfter i sådanne situationer, så brugere kan hurtigt finde ud af, at de ignoreres, når betalinger blev foretaget.
Angreb på STOP Djvu ransomware blev først rapporteret i slutningen af 2018. Den vigtigste distributionsmetode for STOP Djvu forblev spam-e-mails, og tweaks til kernen af ransomware var relativt små. Størstedelen af falske, kompromitterede vedhæftede filer, der blev brugt i spam-e-mails, var makroaktiverede kontordokumenter eller falske PDF-filer, der kørte ransomware uden offerets viden. STOP Djvus opførsel har heller ikke ændret sig meget - ransomware sletter stadig alle Shadow Volume-snapshots for at slippe af med sikkerhedskopier og begynder derefter at kryptere offerets filer.
Der er mindre ændringer i løsesumnoten, som gemmes som '_openme.txt' på offerets skrivebord. Teksten til løsepenge kan findes her:
'[start på løsepenge]
———————— ALLE DINE FILER ER Krypteret —————————
Bare rolig, du kan returnere alle dine filer!
Alle dine filer dokumenter, fotos, databaser og andet vigtigt er krypteret med den stærkeste kryptering og unikke nøgle.
Den eneste metode til gendannelse af filer er at købe dekrypteringsværktøj og unik nøgle til dig.
Denne software dekrypterer alle dine krypterede filer.
Hvilke garantier giver vi dig?
Du kan sende en af dine krypterede filer fra din pc, og vi dekrypterer den gratis.
Men vi kan kun dekryptere 1 fil gratis. Filen må ikke indeholde værdifulde oplysninger
Forsøg ikke at bruge tredjeparts dekrypteringsværktøjer, fordi det ødelægger dine filer.
Rabat 50% tilgængelig, hvis du kontakter os de første 72 timer.
———————————————————————————————————-
For at få denne software skal du skrive på vores e-mail:
helpshadow@india.com
Reserver e-mail-adresse for at kontakte os:
helpshadow@firemail.cc
Dit personlige id: [string]
[løsesum notat slut] '
Ransomware begrænsede sig til at omdøbe de krypterede filer med .djvu-udvidelsen oprindeligt, hvilket var et nysgerrig valg, fordi .djvu faktisk er et legitimt filformat udviklet af AT & T Labs og brugt til opbevaring af scannede dokumenter, noget svarende til Adobes .pdf. Senere versioner af ransomware vedtog en række andre udvidelser til krypterede filer, herunder '.chech,' '.luceq,' '.kroput1,' '.charck,' '.kropun ,,' .luces, '' .pulsar1, '' .uudjvu, '' .djvur, '' .tfude, '' .tfudeq 'og' .tfudet '.
Visse stammer af STOP Djvu ransomware kan dekrypteres gratis ved hjælp af den såkaldte 'STOPDecrypter', der blev udviklet af sikkerhedsforskeren Michael Gillespie og er tilgængelig online som en gratis download.
Indholdsfortegnelse
STOP Djvu Ransomware Video
Tip: Gør din lyd ON og se videoen i fuldskærmstilstand.
STOP Djvu Ransomware Skærmbilleder
Analyserapport
Generel information
| Family Name: | STOP/DJVU Ransomware |
|---|---|
| Signature status: | No Signature |
Known Samples
Known Samples
This section lists other file samples believed to be associated with this family.|
MD5:
def8a7bfe5fe47d95a95085d8dbc7a53
SHA1:
7182d4b2f55a560d83edf0824e119f71fa8422b6
SHA256:
B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192
Filstørrelse:
6.29 MB, 6292105 bytes
|
|
MD5:
a6b8c0cb178c31dd347554c3e5a0d5f8
SHA1:
91864f269d696ee80869cfeb3c9a204f8031a3bb
SHA256:
4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C
Filstørrelse:
3.47 MB, 3471869 bytes
|
|
MD5:
2336c9624d9a44c393d354206226f508
SHA1:
ea7edc388ad62990f52b9ed40df26d20f4e20190
SHA256:
CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0
Filstørrelse:
1.36 MB, 1359918 bytes
|
|
MD5:
42f32aa699bc45a3638ddeb325ebebc1
SHA1:
508cea3ba2bf04cc6851295f92bf0e752071f6b8
SHA256:
16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4
Filstørrelse:
1.33 MB, 1328186 bytes
|
Windows Portable Executable Attributes
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have relocations information
- File doesn't have security information
- File has exports table
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
Show More
- File is Native application (NOT .NET application)
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
File Icons
File Icons
This section displays icon resources found within family samples. Malware often replicates icons commonly associated with legitimate software to mislead users into believing the malware is safe.
Windows PE Version Information
Windows PE Version Information
This section displays values and attributes that have been set in the Windows file version information data structure for samples within this family. To mislead users, malware actors often add fake version information mimicking legitimate software.| Navn | Værdi |
|---|---|
| Comments | This installation was built with Inno Setup. |
| Company Name |
|
| File Description |
|
| File Version |
|
| Internal Name |
|
| Legal Copyright | Copyright © Alexander Roshal 1993-2022 |
| Original Filename |
|
| Product Name |
|
| Product Version |
|
File Traits
- 2+ executable sections
- big overlay
- HighEntropy
- Installer Manifest
- No Version Info
- RAR (In Overlay)
- RARinO
- SusSec
- vb6
- WinRAR SFX
Show More
- WRARSFX
- x86
Files Modified
Files Modified
This section lists files that were created, modified, moved and/or deleted by samples in this family. File system activity can provide valuable insight into how malware functions on the operating system.| File | Attributes |
|---|---|
| c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp | Generic Read,Write Data,Write Attributes,Write extended,Append data |
Windows API Usage
Windows API Usage
This section lists Windows API calls that are used by the samples in this family. Windows API usage analysis is a valuable tool that can help identify malicious activity, such as keylogging, security privilege escalation, data encryption, data exfiltration, interference with antivirus software, and network request manipulation.| Category | API |
|---|---|
| Other Suspicious |
|
| Anti Debug |
|
| User Data Access |
|
| Process Manipulation Evasion |
|
| Process Shell Execute |
|
| Keyboard Access |
|
Shell Command Execution
Shell Command Execution
This section lists Windows shell commands that are run by the samples in this family. Windows Shell commands are often leveraged by malware for nefarious purposes and can be used to elevate security privileges, download and launch other malware, exploit vulnerabilities, collect and exfiltrate data, and hide malicious activity.
"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"
|
"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"
|
