CryptoDefense

O CryptoDefense, também conhecido como HOW_DECRYPT.txt Ransomware, é uma infecção de PC que ataca todas as versões do Windows, incorporando o Windows XP, Windows Vista, Windows 7 e Windows 8. Quando um PC é contaminado pelo CryptoDefense Ransomware, a infecção por malware executa uma variedade de ações prejudiciais no sistema do computador. O CryptoDefense Ransomware descriptografa os arquivos do computador infectado e exige que a vítima pague uma suposta multa para criptografá-los. O CryptoDefense Ransomware também exclui todas as cópias do Shadow Volume quando é lançado, o que significa que a única maneira de restaurar os arquivos é através de um backup. O CryptoDefense Ransomware conecta-se a um servidor de Comando e Controle (C&C) e baixa uma chave privada. O CryptoDefense Ransomware exclui todas as cópias do Shadow Volume para que o usuário do computador não possa restaurar os arquivos na forma do Shadow Volume. Isto significa que o usuário do computador só será capaz de restaurar os arquivos usando um backup ou pagando a suposta multa. O CryptoDefense Ransomware digitaliza o PC e criptografa arquivos de dados como arquivos de imagem, arquivos de texto, documentos do office e arquivos de vídeo. O CryptoDefense Ransomware cria um screenshot da tela do Windows que esta sendo acessada pelo usuário do computador e envia-a para o servidor de Controle e Comando. Essa imagem será incorporada na página de pagamento do usuário do PC no seu site de serviço de descriptografia.

Esse site de pagamento está localizado na rede Tor e o usuário do PC só pode fazer o pagamento em Bitcoins. Para comprar o descriptador para os arquivos, o usuário do computador precisa pagar uma suposta multa de 500 USD em Bitcoins. Se o usuário do PC não pagar a multa no prazo de 4 dias, isso vai duplicar a multa, ou seja, ele terá de pagar $1.000 USD. O CryptoDefense Ransomware também declara que se o usuário do PC não comprar o descriptografador dentro de um mês, ele excluirá sua chave privada e o usuário do computador não será mais capaz de descriptografar os arquivos. Os arquivos são criptografados usando a criptografia RSA-2048, o que os torna impossível descriptografa-los via métodos de força bruta. No início de cada arquivo criptografado, estarão duas seqüências de caracteres de texto. A primeira seqüência de caracteres é !crypted! e a segunda seqüência de caracteres é um identificador exclusivo para o PC comprometido. Um exemplo desse identificador é 18177F25DA00CD4CBC3D1b8B9F55F018. Todos os arquivos criptografados no mesmo PC incluem o mesmo identificador exclusivo. Possivelmente, esse identificador é usado pelo site do serviço de descriptografia para ele reconhecer a chave privada que pode ser usada para descriptografar os arquivos, ao ser executada uma descriptografia de teste.