Princess Locker Ransomware
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Classificação de popularidade: | 12,857 |
| Nível da Ameaça: | 80 % (Alto) |
| Computadores infectados: | 51 |
| Visto pela Primeira Vez: | November 15, 2024 |
| Visto pela Última Vez: | October 2, 2026 |
| SO (s) Afetados: | Windows |
O Princess Locker Ransomware é um Trojan ransomware de criptografia que recebeu a atenção dos pesquisadores de segurança do PC devido ao grande resgate que o Princess Locker Ransomware exige no seu ataque. O montante original do resgate do Princess Locker Ransomware era de 3 Bitcoins, que na taxa de câmbio atual é de quase 25 mil USD. Porém, o Princess Locker Ransomware ameaça duplicar esse montante se o resgate não for pago dentro de um determinado período de tempo. O Princess Locker Ransomware foi lançado pela primeira vez em novembro de 2016. O Princess Locker Ransomware recebeu atenção porque a segunda versão dessa ameaça foi lançada em março de 2018. Há pouca diferença entre as várias versões do Princess Locker Ransomware Trojan.
Índice
A Princesa que Quer Ganhar Dinheiro às Suas Custas
O propósito do Princess Locker Ransomware é tomar os arquivos da vítima como reféns. Para fazer isso, o Princess Locker Ransomware usa um forte algoritmo de criptografia, que tornam esses arquivos sem uso. O Princess Locker Ransomware criptografa os arquivos do usuário do computador e, em seguida, entrega uma nota de resgate na forma de arquivos de TXT e HTML que são descartados na área de trabalho do computador infectado. Esses arquivos solicitarão que as vítimas se conectem a um site de pagamento onde serão convidadas a realizar um grande pagamento como resgate. O Princess Locker Ransomware enviará a sua nota de resgate escrita em vários idiomas com a seguinte mensagem:
'Seus arquivos estão criptografados!
Isso significa que seus arquivos foram transformados em um nível estrutural e ficaram inacessíveis. Para poder acessá-los novamente, você deve transformá-los de volta ao estado original. Isso só pode ser feito com a ajuda de um software especial - "Princess Decryptor", que pode ser comprado apenas neste site. Cada cópia do «Princess Decryptor» funciona individualmente para cada par de ID + Extensão. Portanto, você precisa comprar o seu próprio como qualquer outro usuário cujos arquivos também foram criptografados. Aceitamos apenas Bitcoin.'
Não é aconselhável pagar a grande quantia associada ao Princess Locker Ransomware. Não há garantia de que os seus administradores ajudem as vítimas do ataque do Princess Locker Ransomware a recuperar os seus arquivos, e é igualmente provável que essas pessoas exijam mais dinheiro ou ignorem o pagamento completamente. Além disso, pagar o resgate do Princess Locker Ransomware permite que esses extorsionistas continuem criando novas ameaças de ransomware como o Princess Locker Ransomware e a realizar ataques adicionais. Em vez de pagar o resgate do Princess Locker Ransomware, é importante tomar medidas preventivas para garantir que os seus dados estejam protegidos contra ataques como o do Princess Locker Ransomware.
Protegendo os Seus Dados contra Ameaças como o Princess Locker Ransomware
Infelizmente, o Princess Locker Ransomware e suas variantes usam algoritmos de criptografia bastante fortes, o que significa que, se os arquivos forem criptografados pelo Princess Locker Ransomware, eles não serão mais recuperáveis com a tecnologia atual. A mesma tecnologia de criptografia que permite aos usuários de computadores protegerem dados e se comunicam de forma segura em linha também permite que as pessoas responsáveis pelo ataque do Princess Locker Ransomware se ocupem dos computadores das vítimas e que os arquivos da vítima sejam bloqueados de forma irreversível atualmente. Uma vez que a tecnologia prevalecente não permite a recuperação dos arquivos criptografados pelo ataque do Princess Locker Ransomware, será necessário que os usuários de PC tomem medidas para proteger seus dados de forma preventiva. A melhor maneira de garantir que seus dados estão protegidos é usar um método de backup confiável. Ter cópias de backup de seus arquivos, armazenados na nuvem ou em um dispositivo de memória externo, é um dos melhores métodos para garantir que seus arquivos possam ser recuperados depois de serem criptografados pelo ataque do Princess Locker Ransomware. Além dos backups de arquivos, os pesquisadores de segurança do PC aconselham os usuários de computadores a usar um programa de segurança confiável que esteja totalmente atualizado para evitar que as ameaças, como o Princess Locker Ransomware, sejam instaladas em primeiro lugar.
Relatório de análise
Informação geral
| Nome de família: | Trojan.MSIL.Cassandra.A |
|---|---|
| Status da assinatura: | No Signature |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
8a5bdbc2aa05c830bee7097e7f1dcb12
SHA1:
8276d5dfd6186bc00eb2ea2f828be0b17ae84d1b
SHA256:
FBFE8C91C940FC6036245B9C2BEF7B1D028C727F247C1A45F5BAB72CBF018FFF
Tamanho do Arquivo:
751.62 KB.751616 bytes
|
|
MD5:
007874973471619080ae8d5305f3fe85
SHA1:
0f3e429fedd0980b55e05a269029e3e0e05d70c6
SHA256:
C2F8A6F1B0B6D8A210D46FCD85162A656FD43527E05128FEAA22C84F132798E3
Tamanho do Arquivo:
2.03 MB.2034688 bytes
|
|
MD5:
1ddf4ebb91e0f4d18bfe5733b8403490
SHA1:
d899f0862b0fb0a7bccdc929caf297303857efe6
SHA256:
87111DB94D4222160F824016A15EEC98E8A2F5E5D2262C649C55374A9CD8FEE1
Tamanho do Arquivo:
1.15 MB.1152000 bytes
|
|
MD5:
4b8a36845510f49276b8a83dc7f0df12
SHA1:
8fb59cebef38f0276e4ae9a924b210d2e70a0d16
SHA256:
8EE385ACEE6B8E7F277270D1F267783D304307BBAAEBE9A265EF37BE632B05F2
Tamanho do Arquivo:
872.96 KB.872960 bytes
|
|
MD5:
a11029564a1bd35817679495bc2e6c76
SHA1:
ca94a0fc757da0db6d80a1f9e66bc51718cc1a33
SHA256:
7C95D27A0849785FBB6E245FC37E519F84B8CEB8CC9FC8C3C55EA0FA3A17BD00
Tamanho do Arquivo:
1.16 MB.1156096 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have debug information
- File doesn't have exports table
- File doesn't have security information
- File is .NET application
- File is 32-bit executable
- File is console application (IMAGE_SUBSYSTEM_WINDOWS_CUI)
- File is either console or GUI application
- File is not packed
- IMAGE_FILE_DLL is not set inside PE header (Executable)
Mostrar mais
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Informações sobre a versão do Windows PE
Informações sobre a versão do Windows PE
Esta seção exibe os valores e atributos definidos na estrutura de dados de informações de versão de arquivos do Windows para amostras desta família. Para enganar os usuários, os agentes maliciosos frequentemente adicionam informações de versão falsas, imitando softwares legítimos.| Nome | Valor |
|---|---|
| Assembly Version |
|
| Company Name | Live Software |
| File Description | Common Library |
| File Version |
|
| Internal Name |
|
| Legal Copyright |
|
| Original Filename |
|
| Product Version |
|
Características do arquivo
- .NET
- dll
- HighEntropy
- NewLateBinding
- ntdll
- RijndaelManaged
- vmp section variant
- WriteProcessMemory
- x86
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 224 |
|---|---|
| Blocos potencialmente maliciosos: | 3 |
| Blocos permitidos: | 58 |
| Blocos desconhecidos: | 163 |
Mapa visual
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Famílias semelhantes
Famílias semelhantes
Esta seção lista outras famílias que compartilham semelhanças com esta família, com base na análise da EnigmaSoft. Muitas famílias de malware são criadas a partir dos mesmos kits de ferramentas e utilizam as mesmas técnicas de compactação e criptografia, mas ampliam sua funcionalidade de forma exclusiva. Famílias semelhantes também podem compartilhar código-fonte, atributos, ícones, subcomponentes, assinaturas digitais comprometidas e/ou inválidas e características de rede. Os pesquisadores exploram essas semelhanças para triar amostras de arquivos de forma rápida e eficaz e aprimorar as regras de detecção de malware.- MSIL.FreeSnip.A
- Occamy.P
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75 | Ml % �v����Bx #��(�1`1�1HO 5�0<.:@V� H[uN$k`k�ql(��P� ��!�/������ ��3�� ��� �X�����.�m� � �gi�V �$�8���l� �&M A�~ B1_ B�� `�V����� �Q] �� @ K� A *�" C ��| | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Syscall Use |
Mostrar mais
|