Луковое горе: новая версия трояна-вымогателя CTB-Locker. CTB-Locker
Если после установки какой-либо программы на экране вашего смартфона стала регулярно появляться реклама приложения Super Locker , или вы уже установили данное приложение и не можете его удалить, или оно каким-то образом установилось самостоятельно, и вы не знаете, как избавиться от Super Locker – тогда этот материал написан именно для вас. В этой статье я расскажу, что такое Super Locker, каков его функционал, и как удалить Super Locker из вашего смартфона.
Данное приложение Super Locker позиционируется разработчиками как стильный и модный инструмент для блокировки экрана и ускорения заряда телефона. На экране блокировки пользователь может наблюдать прогноз погоды, уровень зарядки, новости, имеется быстрый доступ к камере и другим важным функциям вашего устройства.
Что до «ускорения заряда», то разработчики обещают ускорение зарядки вашего смартфона на 20% после установки и запуска данной программы. Каким программными инструментами осуществляется аппаратное изменение телефона и аккумулятора для ускоренной зарядки нам не сообщается. А может разработчики знают какое-то магическое заклинание для изменения мощности вашего зарядного устройства? Вопрос риторический. Поэтому я удалил Super Locker через некоторое время после установки на свой смартфон.
Жалобы на приложение
С другой стороны, сеть буквально пестрит жалобами и инвективами на приложение Super Locker. Мало того, что чаще всего оно устанавливается самостоятельно, и реклама на главном экране мешает нормальной работе телефона, так ещё приложение часто инициирует скачивание и установку различных подозрительных программ, о функционале которых пользователей не имеет ни малейшего представления. Излишне говорить, что такой программный продукт больше похож на вредоносное adware, нежели на полезный инструмент с удобным функционалом.
Как удалить приложение Super Locker
Для полного удаления приложения Super Locker бывает недостаточно зайти в настройки телефона, перейти в приложения, найти Super Locker и удалить его с телефона. Очень часто этот процесс происходит с необъяснимыми сбоями в работе, потому специалисты рекомендуют удалять это приложение через безопасный режим (safe mode) вашего телефона.
Ну и излишне говорить, что не нужно ходить по рекламным ссылкам, которые предлагает Супер Локер. Кроме очередных проблем ничего хорошего вы там не найдёте.
Новой мобильной угрозы, малвари DoubleLocker. Вредонос, как и многая другая малварь, эксплуатирует легитимную функциональность Accessibility service и повторно активируется при каждом нажатии кнопки «Домой».
DoubleLocker построен на базе кода известного банкера Svpeng. Тем не менее, пока у него отключены функции, предназначенные непосредственно для сбора банковских данных пользователей. Вместо этого DoubleLocker оснащен сразу двумя инструментами для вымогательства: он может изменить PIN-код устройства на произвольный, а также шифрует найденные данные. По словам специалистов ESET, такое сочетание функций в экосистеме Android наблюдается впервые.
Распространяется DoubleLocker «классическим» способом: преимущественно под видом Adobe Flash Player через скомпрометированные сайты. После запуска малвари на устройстве пользователя, приложение предлагает активировать службу специальных возможностей (Accessibility service). Получив необходимые для работы разрешения, DoubleLocker получает права администратора и устанавливает себя как лаунчер по умолчанию.
«Самоустановка в качестве лаунчера по умолчанию повышает сохранность вредоносного ПО на устройстве, – комментирует Лукас Стефанко, вирусный аналитик ESET, обнаруживший DoubleLocker. – Каждый раз, когда пользователь нажимает кнопку «Домой», вымогатель активируется и снова блокирует экран планшета или смартфона».
После выполнения на устройстве DoubleLocker использует два веских аргумента, чтобы убедить пользователя оплатить выкуп.
Во-первых, он изменяет PIN-код планшета или смартфона, что препятствует использованию устройства. В качестве нового PIN задается случайное значение, код не хранится на устройстве и не отправляется куда-либо вовне, поэтому ни сам пользователь, ни специалист по безопасности не сможет его восстановить.
Во-вторых, DoubleLocker – это один из немногочисленных мобильных вредоносов, который действительно шифрует все файлы в основном хранилище устройства. Для этого малварь использует алгоритм шифрования AES и добавляет к файлам расширение.cryeye. К сожалению, расшифровать пострадавшие данные пока не представляется возможным.
Сумма выкупа составляет 0,0130 биткоина (около 4000 рублей), и в сообщении злоумышленников подчеркивается, что оплата должна быть произведена в течение 24 часов. Если выкуп не будет перечислен, данные останутся зашифрованными.
Чтобы избавиться от DoubleLocker, специалисты ESET рекомендуют принять следующие меры:
- Нерутованное устройство , на котором не установлено решение для управления мобильным устройством, способное сбросить PIN-код: единственный способ избавиться от экрана блокировки – сброс до заводских настроек.
- Рутованное устройство : пользователь может подключиться к устройству через ADB и удалить файл, в котором хранится PIN-код. Для этого необходимо включить отладку устройства (Настройки – Параметры разработчика – Отладка USB). Экран блокировки будет удален, и пользователь вернет доступ к устройству. Затем, работая в безопасном режиме, пользователь сможет деактивировать права администратора устройства для малвари и удалить ее. В некоторых случаях требуется перезагрузка устройства.
Однако все это, к сожалению, не поможет расшифровать пострадавшие данные, как уже было упомянуто выше.
CTB Locker - очень хорошо продуманный и опасный вирус. Писать о нем не буду - информации об этом вирусе в интернете очень много.
За последние 3 месяца некоторые наши клиенты поймали этого зверя, несмотря на предупреждения, обновленные корпоративные антивирусы и прочие решения защиты. У некоторых страдала отдельная рабочая машина, у других - сервер терминалов. Но средства резервного копирования всех спасали.
Последнее заражение одного из клиентов привело к потере большого количества данных, а также некоторых резервных копий. Ответственность за это лежала на клиенте - финансирование на расширение сервера резервного копирования не могли выделить пол года. Но суть не в этом. Нам поставили задачу платить создателям вируса (и тут финансирование резко нашлось).
Я не агитирую пользователей сообщества платить злоумышленникам (я противник этого), но, возможно, этот небольшой мануал кому-то поможет.
Далее я опишу пошагово, как платил плохим людям за расшифровку клиентских данных.
1. Итак, мы попали. Заразился компьютер пользователя (как заразился - пока еще выясняем; антиспам есть, антивирус есть, права пользователей урезаны). По сети вирус зашифровал файловый сервер, диск которого был подключен пользователю как сетевой. Вирус зашифровал те папки на сервере, на которые были права на запись данному пользователю. Также были зашифрованы локальные диски на компьютере пользователя.
2. Когда вирус закончил шифрование - выдал пользователю баннер. Нам было предложено расшифровать данные за 3.5 биткоина, что составляет приблизительно 805$. На принятие решения нам дали 90 часов.
3. На локальном диске в папке Документы были найдены инструкции как действовать.
Нам было предложено сходить в Tor-сеть и ввести на сайте злоумышленников публичный ключ с этого текстового файла. Увы, скриншота сайта я не сделал, сайт открывается очень редко и ничего нового я там не увидел. На сайте продублирована информация с баннера на рабочем столе пользователя: информация о сумме выкупа, ссылки на сайт, где можно купить биткоины, номер кошелька куда переводить и т.д., а также предложение расшифровать два файла размером до 1 мегабайта каждый в доказательство возможности расшифровки.
4. Перед началом всех работ зараженный компьютер пользователя и файловый сервер были изолированы в отдельную сеть с отдельным выходом в интернет. Проверил доступность сетевого диска. Все ОК. Начинаем.
5. Поиск биткоинов. Я до этого не покупал биткоины. Сайты предложенные злоумышленниками для покупки биткоинов нам не подходили. Нам надо купить крипто-валюту платежной картой украинского банка (создал виртуальную карту). Пошел искать способы покупки крипто-валюты. На просторах интернета был найден украинский сайт покупки-продажи биткоинов.
A) регистрируемся на сайте (при регистрации указывайте свой мобильный - на него будут приходить подтверждения транзакций), вносим UAH на счет.
B) Покупаем биткоины за гривны.
C) Переводим биткоины на кошелек, указанный злоумышленниками. Обратите внимание - на комиссию bitcoin-сети.
Подтверждаем транзакцию через СМС с телефона, указанного при регистрации на сайте. Транзакция заняла около 10-15 минут.
6. Ожидание. Итак, мы выполнили все условия злоумышленников. Что делать дальше? Сайт в сети Tor по прежнему не доступен. Как оказалось - нас не обманули. Банер на компьютере пользователя сменился с требования денег на информацию и том, что наша информация сейчас расшифровывается. Все произошло автоматически.
7. Расшифровка длилась около 2-х часов. Проверяем файловый сервер - все на месте, все отлично расшифровалось. Баннер предлагает нам сделать Rescan в том случае, если мы забыли перед началом расшифровки подключить сетевой диск или вставить USB Flash/HDD, который тоже был ранее зашифрован. Или нажать Close и он себя удалит с компьютера.
8. Делаем резервную копию файлового сервера (снова финансирование быстро нашлось на расширения пространства для резервных копий).
9. Подключаем файловый сервер назад в сеть пользователям. Компьютер пользователя форматируем, устанавливаем Windows и т.д.
10. Задумываемся о смене антивируса.
Надеюсь эта публикация кому-то помогла. Или, как минимум, напомнила о важности резервного копирования и свежих баз антивирусов.
Locker virus (также может быть обнаружен как Locker v1.7, Locker V2.16, Locker v2.60, Locker v3.5.3, Locker v.3.49 и Locker V5.52) - это по-настоящему опасная киберугроза, действующая в соответствии со своим наименованием. Как только указанное приложение проникает в целевой компьютер, оно выискивает в системе определенные файлы и «закрывает» доступ к ним. Вдобавок, если попытаться открыть любой из таких файлов, можно увидеть сообщение, предлагающее сделать платеж в обмен на ключ расшифровки. Обычно это нужно для разблокирования нужных Вам файлов и восстановления доступа к ним. Locker относится к категории ‘вымогательского ПО’ или ‘вымогательских криптопрограмм’, а это значит, что он пытается заставить пользователей заплатить выкуп. Такой трюк удается с большой долей вероятности, поскольку прежде, чем потребовать выкуп в 0.1 BTC (bitcoins), Locker перешифровывает все самые частоиспользуемые файлы:
3fr, .accdb, .ai, .arw, .bay, .cdr, .cer, .cr2, .crt, .crw, .dbf, .dcr, .der, .dng, .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .indd, .jpe, .jpg, .kdc, .mdb, .mdf, .mef, .mrw, .nef, .nrw, .odb, .odm, .odp, .ods, .odt, .orf, .p12, .p7b, .p7c, .pdd, .pef, .pem, .pfx, .ppt, .pptm, .pptx, .psd, .pst, .ptx, .r3d, .raf, .raw, .rtf, .rw2, .rwl, .srf, .srw, .wb2, .wpd, .wps, .xlk, .xls, .xlsb, .xlsm, .xlsx
Как видите, данная киберугроза легко может привести Вас к потере всех фотографий, музыкальных файлов, файлов с результатами Вашей творческой деятельности, а также других документов. Чтобы получить возможность расшифровать файлы, от Вас потребуют сделать платеж в течение 72 часов. Если же жертва соглашается уплатить первый минимальный выкуп, вымогательская программа Locker увеличивает требование до 1.0 BTC.
Что можно сделать в такой ситуации? Прежде всего, Вам нужно удалить Locker virus из системы до того, как он сможет перешифровать слишком большое количество файлов. Вдобавок, Вы должны поискать копии заблокированных файлов. Если Вы все еще не знаете как сделать резервное копирование важных файлов, то Вам следует ознакомиться с этим постом: ? Если Вы не делали резервного копирования, можно попытаться воспользоваться следующими средствами: R-Studio , Photorec . Если даже указанные программы не смогли Вам помочь, это значит, что зашифрованные файлы, к сожалению, утрачены навсегда.
Для удаления Locker virus мы настоятельно рекомендуем программу , поскольку она показала отличные результаты в решении рассматриваемой проблемы.
Как Locker virus мог заразить мой компьютер?
Сейчас распространяется множество подобных вымогательских программ, например, хорошо известные , CTB locker , Cryptobot , Cryptographic Locker и т.п. Все они используют одинаковую технику распространения, используемую множеством других вирусов, таких как ложные антишпионские программы, троянские программы и др. Если Вы хотите держаться от них подальше, Вы должны прежде всего запомнить следующее: такое ПО активно продвигается при помощи спама. Спам - это надоедливые сообщения электронной почты, сопровождаемые зараженными прикрепленными файлами или вредоносными ссылками. Стремясь вынудить пользователей щелкнуть по таким ссылкам или скачать вредоносные прикрепления, сообщения уведомляют об интригующих вещах, таких как недостающие платежи, предупреждения от правительственных органов и подобные выдумки, которые обычно не оставляют людей равнодушными. Пожалуйста, НЕ верьте таким сообщениям и всегда критично относитесь к указанному отправителю и телу сообщения. Если они наполнены опечатками или грамматическими ошибками, то существует огромная вероятность того, что и само сообщение ложное. Вдобавок, Locker virus также может проникнуть в ПК после того, как Вы кликните по дезинформирующей всплывающей рекламе, которая может вмешиваться во время использования броузера. Пожалуйста, держитесь подальше от любых уведомлений, сообщающих о недостающих обновлениях, включая Java, Flash Player и т.п.
Как удалить Locker virus?
Если Вы являетесь одной из жертв вымогательской программы Locker, то Вам следует незамедлительно удалить ее из компьютера. Для этого Вы можете воспользоваться следующими приложениями: , , .
Если хотите восстановить доступ к своим файлам, то можете воспользоваться их резервными копиями или, если у Вас таких копий нет, попробуйте одно из таких средств для восстановления файлов, как R-Studio или Photorec . Кроме того, Kaspersky Lab также представил средство для расшифровки перешифрованных файлов, поэтому Вам также следует попробовать . Пожалуйста, НЕ платите выкуп, потому что оплата не гарантирует получения ключа для расшифровки файлов.
Мы настоятельно рекомендуем подумать о предотвращении таких инфекций, как Locker. Для этого Вы можете пользоваться вышеупомянутыми программами. Кроме того, не забудьте обеспечить сохранность своих файлов и организовать их резервное копирование. Вы можете воспользоваться внешним USB-носителем, дисками CD/DVD или просто онлайн-бэкапом, например, сервисами Google Drive, Dropbox, Flickr и др. Больше информации о резервном копировании можно получить из этого поста: Why do I need backup and what options do I have for that ?