Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monnaies

ѠOOT
Geek à longue barbe
Geek à longue barbe
Messages : 1043
Inscription : 28 déc. 2011 19:39

Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monnaies

Message par ѠOOT » 29 janv. 2014 05:25

Bonjour,

Quelques mots sur le sujet de Malekal_morte : Cryptorbit – Howdecrypt.txt : à la recherche du sample perdu.

Image

Design sobre, épuré. En haut, le titre "cryptorbit" en rouge avec en dessous le message YOUR PERSONAL FILES ARE ENCRYPTED également rouge sur fond jaune. Sur la droite l'image d'un cadenas ouvert et sur la gauche sur fond blanc le mode d'emploi pour retrouver ses fichiers. Le texte comporte des mots soulignés en gras. La victime doit se rendre sur une adresse située sur le réseau TOR. Le contenu de la page :

"We are present a special software - CRYPTORBIT DECRYPTOR - which is allow to decrypt and return control to all your encrypted files. We accept payment in Bitcoin. Current price is 0.5 BTC (it's about ~400 $ USD)."

How to buy CRYPTORBIT decryptor?
1. First, you should register Bitcon wallet ( click here for more information with pictures )
2. Purchasing Bitcoins - Although it's not yet easy to buy bitcoins, it's getting simpler every day. Here are our recommendations:
- LocalBitcoins.com - This fantastic service allows you to search for people in your community willing to sell bitcoins to you directly.
- How To Buy Bitcoins - An international directory of bitcoin exchanges.
- Cash Into Coins - Recommended for fast, simple service.
- Coinbase - Bitcoin exchange based in the United States. (Highly rated).
- BitStamp - A multi currency bitcoin exchange based in Slovenia. (Highly rated).
- MtGox - A multi currency bitcoin exchange based in Japan
- CoinJar - CoinJar allows direct bitcoin purchases on their site. They're based in Australia but serve an international clientele.
3. Transfer 0.5 BTC to our wallet: **compte**
4. Complete the form below and click Submit.
5. Within 24 hours you will receive email containing archive with CRYPTORBIT decryptor. Simply run decryptor and wait until decryption proccess finished. After this operation is finished all your files will be decrypted.

Please, submit this form only after successful payment.
Note: Personal Code - you can find in HOWDECRYPT.txt file.


Malgré la complexité des opérations, la page est extrêmement claire.
La victime doit suivre 5 étapes détaillées afin de déchiffrer ses fichiers.

Portefeuilles des attaquants mentionnés à l'adresse 4SFXCTGP53IMLVZK.ONION
17FSkXDULjtK6R9G3cpwmLMYbWRZJ9c8vZ
18yP3oKzeqChWCYG2ZGPcBhMQBiXFeR2GF
15JTKDkU4U6Tn5MBc9Pt52mMzXDmvmaanR
1KZvxpPzvkSCqm3VTffWBWcLumWK1KJfkK
1H6jc6Mz535zTts6DWdeJf3HdH4owGjsXo

La somme des comptes pour ce nœud tourne autour d'~3 700 € de gains.
Information à prendre avec des pincettes : un indicateur, ni plus ni moins.

Image
La page PHP a été développée en langue slave : visiblement en polonais.

La victime paye la rançon et valide sa demande d'obtention du "decryptor".
Elle réceptionnera ensuite un courriel anonymisé via remailers contenant:
- Une archive au format 7zip compressée et chiffrée ( LZMA 7zAES )
- Le code d'extraction de l'archive protégée par un mot de passe.

Nous avons été en mesure d'obtenir un déchiffreur. Lorsqu'il est exécuté, celui-ci affiche simplement un message "Decryption in progress. Please don't close this window. After decrypting window will close automatically". La victime doit patienter le temps de rechercher et de déchiffrer tous les fichiers. L'outil "decryptor" est léger ( un poids d'~60 ko ) : une seule section, aucun import,... c'est optimisé, le développeur n'est pas un bleu mais une personne expérimentée.

Quand Malekal a rédigé son article, combien de publications techniques avaient été publiées chez des éditeurs antivirus concernant Cryptorbit ? Réponse : 0 Pourtant ce n'est pas nouveau dans l'histoire, il y a eu des GPCode et dernièrement des CryptoLocker qui ont beaucoup fait couler d'encre. Ce profond silence traduit peut-être un malaise : what the hell is going on !? Pas mal d'inconnues planent autour de Cryptorbit.

Les échantillons sont difficiles à collecter car en ce qui nous concerne, nous ignorons comment Cryptorbit arrive sur les machines des victimes, bien qu'il y ait quelques pistes... Ces individus combinent plusieurs techniques, ils utilisent le réseau TOR , ainsi que le THS , les courriels anonymisés , les crypto-monnaies , ...

Même si à peine 5% des victimes règlent les rançons aux montants exorbitants, l'activité demeure rentable. D'autant qu'il ne faut pas oublier que dans certains pays 400$ équivaut à une vraie fortune. Sauf renversement de vapeur, il faut s'attendre à ce que les rançongiciels / chiffreurs augmentent en terme de volumes et qu'ils se perfectionnent progressivement.

Recommandations:
☛ Réalisez régulièrement des sauvegardes de vos données les plus importantes.
☛ Ne les stockez pas sur un périphérique continuellement relié à la machine.
☛ Si la machine est infectée, nettoyez la bien, avant de manipuler vos fichiers.
☛ Ne branchez aucun support de stockage sur une machine encore infectée.
☛ Vos machines et/ou réseaux nettoyés, changez bien tous vos identifiants.


‮Vous aimez la sécurité informatique ? Dopez vos neurones, achetez MISCMAG !
...nuf rof tsuJ


Malekal_morte
Site Admin
Site Admin
Messages : 96109
Inscription : 10 sept. 2005 13:57
Contact :

Re: Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monn

Message par Malekal_morte » 30 janv. 2014 08:57

Merci pour ce complément PDT_018

Quelques commentaires qui me viennent à l'esprit :
Sauf renversement de vapeur, il faut s'attendre à ce que les volumes des rançongiciels / chiffreurs augmentent.
Sans vouloir me vanter, je pense qu'on a fait pas mal reculer les ransomwares Fake Police en tappant sur les malvertising, ça laisse un boulevard à d'autres.
A mon avis, la variante OMG est plus rentable, car il tape les entreprises qui ne peuvent pas se permettre de perdre des données, il suffit de voir sur le topic : extention-omg-ajoute-aux-fichiers-t44686.html

Mais c'est vrai que c'est imparable malheureusement, un Fake Police bloque le PC, au pire, il reste l'option formatage ou réparateur (70 euros, le déblocage, c'est 100 euros).
Là pour les données, c'est mort de chez mort, donc la mort dans l'âme, on peux être tenté de payer.
Quand Malekal a rédigé son article, combien de publications techniques avaient été publiées chez des éditeurs antivirus concernant Cryptorbit ? Réponse : 0 Pourtant ce n'est pas nouveau dans l'histoire
Comme OMG, Cryptorbit sort des radars et surtout de la remonté automatiques des clients antivirus.

Les AV ont demandé des samples pour OMG :
https://twitter.com/nicolasbrulez/statu ... 2684823552
https://twitter.com/malekal_morte/statu ... 8930323456
Résultat rien.

Là je pense qu'on est parti pour avoir le même résultat, malheureusement.
Donc aucune étude sur le cryptor, donc aucune certaine s'il est possible ou non de récupérer les données, via une boulette par exemple des développeurs, comme il y a eu par le passé.
Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas

Sécuriser son ordinateur (version courte)

Tutoriels Logiciels - Tutoriel Windows - Windows 10

Stop publicités - popups intempestives
supprimer-trojan.com : guide de suppression de malwares

Partagez malekal.com : n'hésitez pas à partager sur Facebook et GooglePlus les articles qui vous plaisent.

frixion
Messages : 1
Inscription : 30 janv. 2014 14:08

Re: Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monn

Message par frixion » 30 janv. 2014 14:27

le decryptor sert juste a faire jolie ou il decrypte vraiment les fichier ?

vincent.c
Messages : 1
Inscription : 03 févr. 2014 18:20

Re: Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monn

Message par vincent.c » 03 févr. 2014 18:34

Bonjour,

Bonne question, pourriez-vous nous dire si le fait de payer permet de récupérer les données ?

J'ai trouvé sur un "faux" blog de déverminage des commentaires intéressants concernant la récupération des données mais malheureusement ce n'est pas assez détaillé
hxxp://deletemalware.blogspot.fr/2013/12/remove-howdecrypt-virus-and-restore.html

Jdgr said...
Hi. My friend contacted this damn thing. Sadly, some of the affected files were not backed up and could not bw decrypted by either kaspersky's or panda's or either a third decryption software we found(the name eludes me now).it seems though, it is not an encryption but a header "destroyer". We applied a generic jpeg repair software to some files and managed to get back not the full jpegs but at least their thumbnails. Which,to my opinion points away from an encryption. Sadly so far we havent found anything to fully restore the files. I would appreciate it if you posted any relevant news to this post. Thanks and enjoy your holidays

Anonymous said...
I could restore "manually" quite all ms-office 2007 (and above) files, as they are in zip container. Only the root xml file of the data structure is dammaged. You can get it from any same clean office file.
PDF can be restored as well by 3rd party software.
Text and other config files will stay dammaged unless you can restore them from a copy.
All other binary f.ex. autocad files are gone forever, as the thing overwrites more than the header and also the "footer" of files.
This is not encryption as all the crap is the same in all files. Its just destructive overwrite.
Don't contact it. Or make backups.

Pourriez-vous m'aider à comprendre ces commentaires ?

Merci pour votre aide.

Malekal_morte
Site Admin
Site Admin
Messages : 96109
Inscription : 10 sept. 2005 13:57
Contact :

Re: Le rançongiciel Cryptorbit utilise TOR/THS & crypto-monn

Message par Malekal_morte » 06 févr. 2014 00:05

C'est du bidouillage.
Pour ceux qui sont sur Vista et supérieur, il y a les "versions précédentes", voir dernier edit : https://www.malekal.com/2014/01/27/crypt ... owdecrypt/
Première règle élémentaire de sécurité : on réfléchit puis on clic et pas l'inverse - Les fichiers/programmes c'est comme les bonbons, quand ça vient d'un inconnu, on n'accepte pas

Sécuriser son ordinateur (version courte)

Tutoriels Logiciels - Tutoriel Windows - Windows 10

Stop publicités - popups intempestives
supprimer-trojan.com : guide de suppression de malwares

Partagez malekal.com : n'hésitez pas à partager sur Facebook et GooglePlus les articles qui vous plaisent.


Répondre

Revenir vers « Tech, Tips & Tricks »