Funzionalità ransomware di ZeuS: win_unlock

Il post seguente è stato tradotto per gentile concessione di F-Secure

Stamattina presto, mentre eseguivamo il nostro quotidiano data mining, ci siamo imbattuti in una nuova variante di ZeuS 2.x. Comprendeva un nuovo comando backdoor chiamato: win_unlock. Molto interessante. Pare che questo ZeuS 2.x leggermente modificato includa una funzione ransomware.

Quando questa particolare variante viene eseguita, apre Internet Explorer ad una pagina specifica (lex.creativesandboxs.com/locker/lock.php) e impedisce all’utente di fare qualsiasi altra cosa con il sistema infetto. La pagina web aperta, presumibilmente, mostra un qualche tipo di messaggio di estorsione; ma, al momento, non è disponibile perché il sito è offline.

Il modo più semplice per sbloccare il sistema è quello di eliminare semplicemente il trojan. Ma potrebbe essere un po’ complicato, in quanto il trojan impedisce di fare qualsiasi cosa con il sistema infetto, per fortuna il blocco può essere facilmente disattivato.

Guardando il codice che corrisponde a un comando win_unlock, è chiaro che l’informazione di sblocco è memorizzata nel registro.

ZeuS, funzionalità ransomware

Lo sblocco può, quindi, essere eseguito facilmente tramite un editor per il registro:

1. Avviare il sistema in modalità provvisoria
2. Aggiungere una nuova chiave denominata syscheck in HKEY_CURRENT_USER
3. Creare un nuovo valore DWORD sotto la chiave syscheck
4. Impostare il nome del nuovo valore DWORD a Checked
5. Impostare i dati per il valore Checked a 1
6. Riavviare

SHA1: 03f0c26c6ba77c05152a1e0cc8bc5657f0c83119
Analisi di Mikko S. e Marko

Fonte: ZeuS Ransomware Feature: win_unlock

Written by admin

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *