Троянец-шифровальщик, распространяющийся под видом вложенного в электронные письма резюме. Представляет собой инсталляционный пакет NSIS. После запуска извлекает на компьютер пользователя следующие файлы:
- csrss.bat – основной файл троянца;
- svchost.exe – переименованная утилита GPG;
- iconv.dll - библиотека для работы GPG;
- pubring.bak - данные для GPG;
- pubring.gpg - данные для GPG;
- random_seed - данные для GPG;
- secring.gpg - данные для GPG;
- trustdb.gpg - данные для GPG.
csrss.bat удаляет директорию %APPDATA%\gnupg\, уничтожая тем самым уже установленную утилиту GPG. Затем повторно создает каталог %APPDATA%\gnupg\ и копирует в него файлы pubring.bak, pubring.gpg, random_seed, secring.gpg, trustdb.gpg.
После этого троянец начинает процесс шифрования данных, для чего перебирает все диски, кроме диска A, и зашифровывает найденные на них файлы. Полученные в итоге файловые объекты имеют расширение *.gpg, которое заменяется на *.pzdc.
Данные ключа, используемого для шифрования:
pub 1024R/6E697C70 2014-06-30 uncrypt <uncrypt@mail.com>
Текст с требованиями выкупа, демонстрируемый после шифровки файлов:
Ваш компьютер был атакован опаснейшим вирусом.
Вся Ваша информация на этом компьютере была зашифрована с помощью самого криптостойкого алгоритма в мире RSA-1024.
Восстановить файлы можно только при помощи программы обратной дешифрации, которая есть только у нас. Чтобы её получить, Вам необходимо написать нам письмо на адрес:
uncrypt@mail.com
При попытке расшифровки без нашей программы файлы могут повредиться!
Письма с угрозами будут угрожать только Вам и Вашим файлам! НЕ ЗАБУДЬТЕ: только МЫ можем расшифровать Ваши файлы!
При поступлении угроз в наш адрес, Ваши данные не будут расшифрованы.
Обращаем внимание, что файлы можно расшифровать только с использованием специалного программного обеспечения, которое есть только у нас.
В зависимости от модификации троянца, расширение зашифрованных файлов, а также контактный email могут отличаться:
- Дополнительное расширение *.crypt, контактный email - unlocker@myself.com
Компания «Доктор Веб» располагает возможностью восстановления файлов, зашифрованных одной из версий BAT.Encoder.18.
