Mostanában nem telik el úgy egy hét, hogy ne jelenne meg egy új zsaroló kártevő, amely titkosítja a megfertőzött gépeken található fájlokat, és váltságdíjat követel a felhasználótól a feloldáshoz szükséges kulcsért.

A G Data szakértői által analizált Manamecrypt (vagy más népen CryptoHost) is ezek közé a kártevők közé tartozik, de több tekintetben különbözik a társaitól. Az első különbség, hogy az új zsarolóvírus képes arra, hogy leállítsa a számítógépen azokat a folyamatokat, melyek meghatározott mintákat tartalmaznak a nevükben.

Ennél még fontosabb azonban, hogy a Manamecrypt nem fertőzött e-mail csatolmányokkal vagy a különböző szoftverek sérülékenységein keresztül terjed, hanem klasszikus trójaiként egy legális és széles körben használt szoftverbe, a népszerű µTorrent kliensbe rejtve fertőz.
A különleges csomag egy eredeti, működőképes és megfelelően aláírt µTorrent klienst tartalmaz, egy extra kártevővel, melyet a bűnözők mellé rejtettek. A G Data korábbi felmérésének adatai szerint Magyarországon 2 millió internetező torrentezik, a legnépszerűbb kliens pedig éppen a µTorrent. Az egyetlen jó hír, hogy a védelmi cég szakértői szerint a Manamecrypt jelenlegi verziói feltörhetőek, és a titkosított fájlok visszafejthetőek.
Technikai információk

A fertőzés nem minden µTorrent verziót érint, a Manamecrypt zsarolóvírussal összecsomagolt változatot különböző letöltési oldalakon és torrent hálózatokon keresztül terjesztik a bűnözők.

Érdekesség, hogy egy kódolási hiba miatt a torrent kliens az eredeti neve (uTorrent.exe) helyett „uTorrent.exeuTorrent.exe” néven kerül lementésre a gépen. Ezt az állományt a G Data vírusirtói Win32.Application.OpenCandy.G riasztással ismerik fel, mivel a kéretlen programot a µTorrent legtöbb hivatalos verziója is tartalmazza.

A Win32.Application.OpenCandy.G keretrendszer egy potenciálisan kéretlen program, úgynevezett PUP. Az OpenCandy jellemzően más legális ingyenes programokkal terjed, például PDF olvasókkal, tömörítő szoftverekkel, médialejátszókkal és más alkalmazásokkal, a fejlesztője pedig a kaliforniai San Diegóban bejegyzett SweetLabs vállalat. A gépre telepítve a PUP megváltoztatja a böngésző kezdőlapját és a keresésre használt keresőmotorokat. A felhasználókat ezután potenciálisan kéretlen weboldalakra irányítja, amelyeken felugró reklámok jelennek meg – ezek terjesztésével jutnak jövedelemhez a bűnözők.

A Manamecrypt működésében is különbözik más zsaroló kártevőktől: a titkosítani kívánt fájlokat egy .RAR állományba másolja, majd ezt jelszóval titkosítja, az eredeti fájlokat pedig törli.

A kártevő az alábbi fájltípusokat titkosítja:
*.3g2 *.3gp *.7z *.asf *.avi *.doc *.docx *.flv *.gif *.jpeg *.jpg *.m4v *.mov *.mp4 *.mpeg *.mpg *.pdf
*.png *.ppd *.pps *.ppt *.pptx *.psd *.qt *.rm *.tiff *.txt *.wmv *.wpd *.wps *.xlr *.xls *.xlsl *.zip

******DOBOZBA******
Az érintett telepítőcsomagok hash értékei:

Teljes csomag: c71c26bf894feb5dbedb2cf2477258f3edf3133a3c22c68ab378ba65ecf251d3
G Data vírusriasztás neve: Gen:Variant.MSIL.Lynx.13

µTorrent kliens: b7579ad8dfa57512a56e6ff62ae001560c00a4ebb9faa55086a67d30fbb1eea6
G Data vírusriasztás neve: Win32.Application.OpenCandy.G

Kártevő: 4486a1aaa49d8671826ff4d0d5c543892e1a3f0019e7f041032531ff69839bc9
G Data vírusriasztás neve: Trojan.GenericKD.3048538
******DOBOZ VÉGE******

Amellett, hogy titkosítja a fájlokat, a Manamecrypt meghatározott folyamatokat is leállít a megfertőzött gépeken. Így azonnal leállítja például a vírusanalízisre gyakran használt szoftvereket, illetve minden olyan folyamatot, amelynek a nevében a következő kifejezések bármelyike megtalálható: ad-aware, antivirus, avg, avira, bitdefender, bullguard, comodo, debugger, dr.web, eset, f-secure, internet security, kaspersky, mcafee, norton, registry editor, sophos, system restore, task manager, trend micro, vipre.

A fertőzés során a Manamecrypt egy új bejegyzést ad a regisztrációs adatbázishoz az alábbi útvonalon: HKCU\Software\Microsoft\Windows\CurrentVersion\Run. Ez lehetővé teszi, hogy a kártevő minden újraindításkor betöltse magát.
A zsarolóprogram működését a G Data bővebben leírja eredeti blogbejegyzésében, a titkosított fájlok visszaállításához szükséges, de leginkább szakértők számára megérthető információkkal együtt.

Kapcsolódó webcím:
https://blog.gdatasoftware.com/2016/04/28234-manamecrypt-a-ransomware-that-takes-a-different-route

A közleményhez tartozó illusztrációk az alábbi linkről tölthetőek le:
http://virusirto.hu/ftp/sajtokozlemenyek/2016-04-18/utorrent-manamecrypt.zip

**********************
További információ:

Petrányi-Széll Rita
PS:PRovocative PR-ügynökség
Telefon: (+36) 1 782 4246
Mobil: (+36) 30 347-6472
E-mail: rita.petranyi@psprovocative.com
Webcím: http://psprovocative.com
**********************************
A G Datáról

A G Data már 30 éve megbízható partner a vírusvédelemben. 1985-ben a cég alapítója, Kai Figge mutatta be a világ első vírusirtó koncepcióját, majd két évvel később ő és társa, Frank Kühn készítették el a legelső antivírust Atari ST rendszerre. A G Data az első gyártók között készített vírusirtót MS DOS és Windows rendszerre is. A Ruhr-vidékről induló vállalkozás szoftverei hamarosan több millió német számítógépen futottak, és a cég azóta is őrzi pozícióját az anyaországban.
A G Data ma több mint 300 saját munkatárssal rendelkezik, és 9 európai országban önálló képviseletet tart fent. A céget emellett elkötelezett disztribútorok több ezer minősített szakértő munkatársa képviseli az Egyesült Államoktól Ausztráliáig, több mint 90 országban. A magyarországi disztribúciót a V-Detect Antivírus Kft. látja el. Ügyfelei között a számos 10-20 fős kisvállalat mellett megtalálhatóak a tízezres kliensszámmal rendelkező nagyvállalatok és az olyan szervezetek is, mint a 359 várost és önkormányzatot magába foglaló Észak-Rajna-Vesztfália tartomány.
Az európai gyártók közül a G Data rendelkezik a legtöbb elismeréssel. A nemzetközi PC World magazin 2012-ben a G Data InternetSecurity szoftvert a világ legjobb védelmi szoftverének választotta.
A G Data minden fontos vírusirtóteszten részt vesz, így a termékek teljesítménye folyamatosan ellenőrizhető. A cég licencpolitikája lehetővé teszi, hogy ügyfelei a szoftverekből mindig a legfrissebb változatot használják. A magyarországi terméktámogatást 24/7-es nemzetközi terméktámogatás egészíti ki.