Filecoder.D — программа-вымогатель
Карта показателей угрозы
Карта оценки угроз EnigmaSoft
EnigmaSoft Threat Scorecards — это отчеты об оценке различных вредоносных программ, которые были собраны и проанализированы нашей исследовательской группой. EnigmaSoft Threat Scorecards оценивает и ранжирует угрозы, используя несколько показателей, включая реальные и потенциальные факторы риска, тенденции, частоту, распространенность и постоянство. EnigmaSoft Threat Scorecards регулярно обновляются на основе данных и показателей наших исследований и полезны для широкого круга пользователей компьютеров, от конечных пользователей, ищущих решения для удаления вредоносных программ из своих систем, до экспертов по безопасности, анализирующих угрозы.
EnigmaSoft Threat Scorecards отображает разнообразную полезную информацию, в том числе:
Рейтинг популярности: Показатель, занимаемый конкретной угрозой в базе данных угроз EnigmaSoft.
Уровень серьезности: определенный уровень серьезности объекта, представленный в числовом виде на основе нашего процесса моделирования рисков и исследований, как описано в наших критериях оценки угроз .
Зараженные компьютеры: количество подтвержденных и предполагаемых случаев конкретной угрозы, обнаруженной на зараженных компьютерах, по данным SpyHunter.
См. также Критерии оценки угроз .
| Уровень угрозы: | 100 % (Высокая) |
| Зараженные компьютеры: | 84 |
| Первый раз: | January 24, 2013 |
| Последний визит: | October 19, 2026 |
| ОС(а) Затронутые: | Windows |
Filecoder.D Ransomware — это опасная программа-вымогатель, шифрующая файлы и нацеленная на компьютеры под управлением Windows с целью блокировки доступа жертв к их документам, фотографиям и другим личным файлам до выплаты выкупа. Эта вредоносная программа, имеющая наивысший возможный уровень опасности, наблюдается в сети уже длительное время, начиная с начала 2013 года и до недавних событий, что свидетельствует о том, что она остается активной угрозой, за которой продолжают следить исследователи в области безопасности.
Оглавление
Что делает программа-вымогатель Filecoder.D
После активации в системе Filecoder.D сканирует локальные диски на наличие ценных типов файлов — таких как документы, изображения, PDF-файлы и файлы Microsoft Office — и шифрует их с помощью надежных криптографических алгоритмов, делая данные нечитаемыми без специального ключа расшифровки, которым располагают злоумышленники. Вредоносная программа использует библиотеки шифрования Windows для выполнения этого процесса, что делает ручное восстановление файлов крайне сложным или невозможным без резервной копии.
Особенно разрушительным действием этой угрозы является попытка удалить теневые копии томов — встроенную функцию Windows, позволяющую пользователям восстанавливать предыдущие версии файлов. Выполняя команды для удаления теневых копий и отключая связанные системные службы, программа-вымогатель гарантирует, что жертвы не смогут легко использовать встроенные инструменты Windows для восстановления зашифрованных данных, что усиливает давление на выплату требуемого выкупа. Она также может пытаться взаимодействовать с системными службами и процессами, чтобы отключить средства безопасности или обеспечить себе возможность запуска с повышенными привилегиями, а также, как было замечено, использует компоненты сценариев, такие как PowerShell, во время своего выполнения — тактика, распространенная среди современных семейств программ-вымогателей, позволяющая слиться с легитимной системной активностью.
Как это распространяется
Как и большинство программ-вымогателей, Filecoder.D обычно использует обманные методы распространения, а не единый фиксированный канал доставки. К распространенным векторам заражения для этой категории угроз относятся вредоносные вложения в электронные письма, замаскированные под счета-фактуры или документы, зараженные ссылки в спам-сообщениях, эксплойт-киты, использующие уязвимости незащищенного программного обеспечения, загрузки из ненадежных веб-сайтов, а также пиратское программное обеспечение или взломанные приложения. Пользователи могут неосознанно спровоцировать заражение, открыв вредоносный файл или включив макросы в скомпрометированном документе.
Риски для пользователей
Последствия заражения Filecoder.D могут быть серьезными. Жертвы могут навсегда потерять доступ к бесценным файлам, включая семейные фотографии, финансовые документы и рабочие бумаги, особенно если резервных копий нет. Помимо потери данных, выплата выкупа не гарантирует, что злоумышленники предоставят рабочий ключ расшифровки, и это лишь финансирует дальнейшую преступную деятельность. Зараженные системы также могут страдать от снижения производительности, отключения функций безопасности и дальнейшего заражения другими вредоносными программами.
Признаки инфекции
Пользователям следует обращать внимание на файлы, которые внезапно становятся недоступными или имеют необычные расширения, записки с требованием выкупа, появляющиеся на рабочем столе или в папках, заметное замедление работы системы, неожиданные всплывающие окна с требованием оплаты, а также отсутствие теневых копий или точек восстановления резервных копий. Необычная активность системных служб или запускающихся без объяснения причин скриптовых инструментов также может быть тревожным сигналом.
Как обеспечить свою безопасность
Чтобы снизить риск заражения программами-вымогателями, пользователям следует регулярно создавать резервные копии важных файлов на внешнем или автономном носителе, обновлять операционную систему и все программное обеспечение до последних исправлений безопасности, избегать открытия вложений или ссылок из неизвестных или подозрительных электронных писем и воздерживаться от загрузки пиратского программного обеспечения. Также важны использование надежного программного обеспечения для обеспечения безопасности, включение защиты брандмауэром и осторожность при работе с макросами в офисных документах. Поддержание актуальных резервных копий остается самым надежным способом восстановления после атаки программ-вымогателей без уплаты выкупа.
Аналитический отчет
Главная Информация
| Фамилия: | Filecoder.D Ransomware |
|---|---|
| Статус подписи: | No Signature |
Известные образцы
Известные образцы
В этом разделе перечислены другие образцы файлов, предположительно связанные с этой семьей.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
ША1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Размер файла:
678.91 KB, 678912 байт
|
Атрибуты исполняемого файла Windows Portable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Показать больше
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Характеристики файла
- HighEntropy
- No Version Info
- x86
Информация о блоке
Информация о блоке
В процессе анализа EnigmaSoft разбивает образцы файлов на логические блоки для классификации и сравнения с другими образцами. Блоки могут использоваться для генерации правил обнаружения вредоносного ПО и для группировки образцов файлов в семейства на основе общего исходного кода, функциональности и других отличительных атрибутов и характеристик. В этом разделе приводится сводная информация о данных этих блоков, а также их классификация, выполненная EnigmaSoft. При наличии также отображается визуальное представление данных блоков.| Всего блоков: | 2,658 |
|---|---|
| Потенциально вредоносные блоки: | 109 |
| Блоки, внесенные в белый список: | 2,549 |
| Неизвестные блоки: | 0 |
Визуальная карта
? - Неизвестный блок
x - Потенциально вредоносная блокировка
Файлы изменены
Файлы изменены
В этом разделе перечислены файлы, созданные, измененные, перемещенные и/или удаленные образцами из этого семейства. Активность файловой системы может дать ценную информацию о том, как вредоносное ПО функционирует в операционной системе.| Файл | Атрибуты |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Изменения в реестре
Изменения в реестре
В этом разделе перечислены ключи и значения реестра, которые были созданы, изменены и/или удалены образцами из этого семейства. Активность реестра Windows может дать ценную информацию о функциональности вредоносных программ. Кроме того, вредоносные программы часто создают значения реестра, чтобы автоматически запускаться и неограниченно существовать после того, как первоначальное заражение скомпрометировало систему.| Ключ::Значение | Данные | Название API |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Использование API Windows
Использование API Windows
В этом разделе перечислены вызовы API Windows, используемые примерами из этого семейства. Анализ использования API Windows — это ценный инструмент, который может помочь выявить вредоносную активность, такую как перехват нажатий клавиш, повышение привилегий в системе безопасности, шифрование данных, утечка данных, вмешательство в работу антивирусного программного обеспечения и манипулирование сетевыми запросами.| Категория | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Показать больше
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Выполнение команд оболочки
Выполнение команд оболочки
В этом разделе перечислены команды оболочки Windows, которые выполняются образцами этого семейства. Команды оболочки Windows часто используются вредоносным ПО в злонамеренных целях и могут применяться для повышения привилегий безопасности, загрузки и запуска другого вредоносного ПО, использования уязвимостей, сбора и кражи данных, а также сокрытия вредоносной активности.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Показать больше
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
