Ransomware

CryptoFortress เลียนแบบ TorrentLocker แต่เป็น Ransomware ที่แตกต่างกัน

สัปดาห์ที่ผ่านมา Kafeine ได้โพสต์ในบล็อกเกี่ยวกับการเริ่มต้นของ Ransomware โดย Nuclear Pack exploit kit ว่า Ransomware นี้ระบุตัวเองว่าเป็น “CryptoFortress” แต่ข้อความเรียกค่าไถ่และการชำระเงินทั้งสองหน้านั้นดูเหมือนว่าเป็น Ransomware ที่เป็นที่รู้จักแล้วในนามชื่อ “TorrentLocker”

หลังจากมีการวิเคราะห์เพิ่มเติม นักวิจัย ESET พบว่าสองภัยคุกคามนี้มีความแตกต่างกันมาก ซึ่งมันปรากฏกลุ่มที่อยู่เบื้องหลัง โดย CryptoFortress ได้ขโมยแม่แบบ HTML กับ CSS ของรหัสมัลแวร์และรูปแบบจริงที่แตกต่างกันมาก นี่คือตารางสรุปความเหมือนและความแตกต่าง

crypto

cryptofortress_ransom_page-1024x686
หน้าเรียกค่าไถ่ของ CryptoFortress

torrentlocker_ransom_page-1024x686
หน้าเรียกค่าไถ่ของ TorrentLocker

torrentlocker_vs_cryptofortress_html-1024x613
ความแตกต่างในหน้าเว็บ HTML

เมื่อวันศุกร์ที่ผ่านมา Renaud Tabary จาก Lexsi ได้ตีพิมพ์การวิเคราะห์ที่สมบูรณ์ของ Ransomware ใหม่ ซึ่งนักวิจัย ESET ได้วิเคราะห์ตัวอย่าง CryptoFortress ก่อนที่ Lexsi จะตีพิมพ์รายละเอียดออกมา รายละเอียดทางเทคนิคอธิบายไว้ในบทความตรงกับผลการวิจัยของเรา

ESET Telemetry ยังแสดงให้เห็นถึงการรณรงค์ TorrentLocker ที่ยังคงแพร่กระจายผ่านทางข้อความสแปม ซึ่งแคมเปญทั้งสองนี้ได้ดำเนินการในแบบคู่ขนาน

อ้างอิง
CryptoFortress: Teerac.A (aka TorrentLocker) got a new identity,
http://malware.dontneedcoffee.com/2015/03/cryptofortress-teeraca-aka.html

CryptoFortress,
http://www.lexsi-leblog.com/cert-en/cryptofortress.html

ตัวอย่างการวิเคราะห์
sample analyzed

CryptoFortress public key

—–BEGIN PUBLIC KEY—–
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDmeXVlPGxKoOyvZgLUoyDdzPEH
8D6gKlAdZVKmbv2RTjjTAcyOY/40zloPX+iJupuvwO1B/yXlsHZD8y0x/jv7v6ML
jHxetmZxUjqv9gLQJE8mJBbU/h0qwc9R7LQwcMapLxvv9O6aMa3Bimjp7bP7WY/9
fXgr1m/wA6Tz/kxF+wIDAQAB
—–END PUBLIC KEY—–

0 comments on “CryptoFortress เลียนแบบ TorrentLocker แต่เป็น Ransomware ที่แตกต่างกัน

ใส่ความเห็น

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / เปลี่ยนแปลง )

Twitter picture

You are commenting using your Twitter account. Log Out / เปลี่ยนแปลง )

Facebook photo

You are commenting using your Facebook account. Log Out / เปลี่ยนแปลง )

Google+ photo

You are commenting using your Google+ account. Log Out / เปลี่ยนแปลง )

Connecting to %s

%d bloggers like this: