Daftar ransomware indonesia yang telah beredar
Jika anda menjadi korban ransomware dan data anda di sandera, mungkin rasanya seperti bertemu Terminator terhadap data anda. Hampir tidak ada orang di dunia ini yang bisa menolong mengembalikan data anda kecuali anda sudah mempersiapkan diri dengan backup secara teratur baik secara manual atau menggunakan backup otomatis seperti yang diberikan oleh G Data Total Protection. In order to win, Know Your Enemy, begitu kata Sun Tsu, karena itu rasanya penting jika para pembaca mengetahui apa saja ransomware yang sedang mengganas di Indonesia dan ciri-cirinya.
Dalam artikel di bawah ini, Vaksincom akan memberikan paparan tentang Ransomware yang ditemukan Vaksincom aktif di Indonesia dengan harapan para pengguna komputer bisa mengetahui cara kerja ransomware dan menghindari faktor infeksi ransomware tersebut.
1. Cryptolocker
Ciri umum Cryptolocker:
Cryptolocker sebenarnya sudah tidak menyebar lagi karena servernya sudah teridentifikasi dan dihentikan oleh pihak berwajib, namun karena ia merupakan ransomware pertama yang sukses dan banyak ransomware yang mengikuti metode dan cara penyebaran cryptolocker, maka cryptolocker tetap perlu diberikan sebagai acuan informasi supaya pembaca berhati-hati terhadap aksi ransomware.
2. CryptoDefense
Ciri umum CryptoDefense:
Ciri umum PCLocker Cryptolocker
7. CTB-Locker
Ciri umum CTB-Locker:
10. Locker V.x.xx (x.xx adalah varian dari ransomware Locker, contoh : Locker v1.7, Locker V2.16, Locker V.3.5.3, Locker V.5.5.2)
Ciri umum Locker:
Dalam artikel di bawah ini, Vaksincom akan memberikan paparan tentang Ransomware yang ditemukan Vaksincom aktif di Indonesia dengan harapan para pengguna komputer bisa mengetahui cara kerja ransomware dan menghindari faktor infeksi ransomware tersebut.
1. Cryptolocker
Ciri umum Cryptolocker:
Cryptolocker sebenarnya sudah tidak menyebar lagi karena servernya sudah teridentifikasi dan dihentikan oleh pihak berwajib, namun karena ia merupakan ransomware pertama yang sukses dan banyak ransomware yang mengikuti metode dan cara penyebaran cryptolocker, maka cryptolocker tetap perlu diberikan sebagai acuan informasi supaya pembaca berhati-hati terhadap aksi ransomware.
- Cryptolocker akan menyebar melalui email dengan lampiran yang di kompres (RAR/ZIP), file tersebut berisi sebuah file (nama file acak) dengan ekstensi ganda (pdf.exe)
- Cryptolocker akan menghapus file Shadow Volume Copies sehingga mempersulit saat user melkukan recovery file
- Cryptolocker akan melakukan enkripsi file yang berada pada drive lokal pada komputer yang terinfeksi dan pada mapping drive (folder share dari komputer lain yang di mapping di komputer yang terinfeksi Cryptolocker). Setiap file yang di enkripsi tidak mengalami perubahan ekstensi.
- C:\Document and Settings\%users%\Local Settings\Application Data\%file acak%.exe
- C:\Documents and Settings\%user%\Local Settings\Temp\%file acak%.exe
- C:\Documents and Settings\%user%\Desktop\%file acak%.jpg
- C:\Users\%Users%\AppData\Local\%file acak%.exe
- C:\Users\%user%\AppData\Local\Temp\%file acak%.exe
- C:\Users\%user%\AppData\Roaming\%file acak%.exe
- C:\Users\%user%\Desktop\%file acak%.jpg
- $300 dengan menggunakan Bitcoin/MoneyPack
2. CryptoDefense
Ciri umum CryptoDefense:
- Menyebar dengan menggunakan email dengan menyertakan lampiran yang di kompresi (RAR/ZIP) dan memanfaatkan celah keamanan software (contoh: flash player)
- CryptoDefense akan menghapus file Shadow Volume Copies sehingga mempersulit saat user akan recover file
- CryptoDefense akan mengenkripsi file yang berada pada drive lokal pada komputer yang terinfeksi dan pada mapping drive. Setiap file yang di enkripsi akan menambahkan string !crypted! di awal isi file.
- C:\Documents and Settings\%User%\Local Settings\%file acak%.exe
- C:\Documents and Settings\%User%\Local Settings\Temp\%file acak%.exe
- C:\Users\%Users%\AppData\Local\%file acak%.exe]
- C:\Users\%user%\AppData\Local\%file acak%.exe
- C:\Users\%user%\AppData\Roaming\%file acak%.exe]
- Help_Decrypt.txt & Help_Decrypt.html, Help_Decrypt.png, Help_Decrypt.txt
Tebusan :
- USD 300 dan meningkat menjadi 1000 USD jika lebih dari 4 hari Menggunakan Bitcoin
3. CryptoWall.
Ciri umum CryptoWall:
Informasi cara decrypt file
Ciri umum CryptOrbit:
Ciri umum CoinVault:
6. PCLocker CryptoLockerCiri umum CryptoWall:
- Menyebar menggunakan email dan memanfaatkan celah keamanan software [oracle java remote | code execution vulnereability| abobe flash player] , emails, website (popup)
- Menghapus file Shadow Volume Copies sehingga mempersulit saat user akan merecovery
- C:\Documents and Settings\%User%\Local Settings\%file acak%.exe
- C:\Documents and Settings\%User%\Local Settings\Temp\%file acak%.exe
- C:\Users\%Users%\AppData\Local\%file acak%.exe
- C:\Users\%user%\AppData\Local\%file acak%.exe
- C:\Users\%user%\AppData\Roaming\%file acak%.exe
- HKCU\Software\<unique computer id>\<random id>
- Contoh: HKCU\Software\03DA0C0D2383CCC2BC8232DD0AAAD117\01133428ABDEEEFF
Informasi cara decrypt file
- Help_Decrypt.txt, Help_Decrypt.html, Help_Decrypt.png, Help_Decrypt.txt,
- USD 300 [ USD 1000 jika lebih dari 4 hari] dengan menggunakan Bitcoin
Ciri umum CryptOrbit:
- Menyebar menggunakan email dan memanfaatkan celah keamanan software [oracle java remote | code execution vulneebility| abobe flash player] , website (popup)
- Menghapus file Shadow Volume Copies sehingga mempersulit saat user akan merecover file
- CryptOrbit tidak akan meng-enkripsi file, tetapi akan merusak file dengan menghapus string pada header file sehingga terjadi perbedaan ukuran sebesar 512 kb dari file asli yang mengakibatkan file tidak dapat dibuka
- C:\Documents and Settings\%User%\Local Settings\Application Data\%file acak%.exe
- C:\Documents and Settings\%User%\Local Settings\Temp\%file acak%.exe
- C:\Users\%Users%\AppData\Local\%file acak%.exe
- C:\Users\%Users%\AppData\Local\Temp\%.file acak%.exe
- C:\Users\%user%\AppData\Roaming\%file acak%.exe
- C:\Program Data\%file acak%.exe
- HowDecrypt.txt, HowDecrypt.gif & HowDecrypt.ntm;
- $500 dengan menggunakan Bitcoin
Ciri umum CoinVault:
- Menyebar dengan menggunakan email dengan menyertakan file yang di kompres (ZIP/RAR/Cab). File yang di kompres akan mempunyai ekstensi ganda (contoh: pdf.exe)
- Menghapus file Shadow Volume Copies sehingga mempersulit saat user akan recover file.
- %AppData%\Microsoft\Windows\coinvault.exe
- %AppData%\Microsoft\Windows\edone
- %Temp%\wallpaper.jpg
- %Temp%\CoinVaultFileList.txt
- %AppData%\Microsoft\Windows\filelist.txt
- $300 dengan Bitcoin
Ciri umum PCLocker Cryptolocker
- Menyebar melalui internet dan memanfaatkan celah keamanan aplikasi
- Menghapus file Shadow Volume Copies sehingga mempersulit saat user akan merecovery
- %AppData%\WinCL\WinCL.exe
- %AppData%\WinCL\winclwp.jpg
- %AppData%\WinCL\temp.vbs
- %UserProfile%\last_change.txt
- %UserProfile%\winclwp.jpgDaftar file yang di enkripsi
- %UserProfile%\enc_files.txt
- $300 dengan menggunakan Bitcoin
Ciri umum CTB-Locker:
- Menyebar melalui email dengan menyertakan sebuah lampiran yang di kompresi (contoh : ZIP/RAR). Lampiran tersebut berisi sebuah file dengan ekstensi .SCR dengan nama file acak.
- Menghapus file Shadow Volume Copies sehingga mempersulit user pada saat akan merecovery file yang sudah di enkripsi.
- Menambahkan ekstensi acak (sebanyak 7 karakter) pada file yang sudah di enkripsi.
- C:\Document and Settings\%users%\Local Settings\Temp\%file acak%.exe
- C:\Users\%Users%\AppData\Local\ Temp\%file acak%.exe]
- C:\Windows\Tasks\%file acak%.job
- C:\Users\%user%\Documents\Decrypt All Files %acak%.txt dan !Decrypt-All-Files-%acak%.bmp) . Contoh “C:\Users\%user%\Documents\Decrypt All Files cllpldb.txt” dan “!Decrypt-All-Files-dbwnria.bmp”
- C:\!Decrypt All Files cllpldb.txt dan !Decrypt-All-Files-%acak%.bmp. Contoh “C:\!Decrypt All Files cllpldb.txt dan !Decrypt-All-Files-dbwnria.bmp”Informasi daftar file yang di enkripsi
- C:\Documents and Settings\All Users\Application Data\%file%.html
- C:\Users\%Users%\AppData\Local\ %file%.html
- $669 dengan menggunakan Bitcoin
8. TeslaCrypt
Ciri umum TeslaCrypt:
Ciri umum TeslaCrypt:
- Menambahkan ekstensi .ecc dan .exx pada setiap file yang di enkripsi
- Menghapus file Shadow Volume Copies, sehingga mempersulit untuk recovery data
File & Registry:
- %AppData%\<random>.exe
- %AppData%\key.dat
- %AppData%\log.html
- %Desktop%\CryptoLocker.lnk
- HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- crypto13 = %AppData%\<random>.exe
- HELP_TO_DECRYPT_YOUR_FILES.bmp
- HELP_TO_DECRYPT_YOUR_FILES.txt
- HELP_RESTORE_FILES.bmp
Tebusan :
- $300-$500 dengan menggunakan Bitcoin
9. CointLocker
Ciri umum CoinLocker:
Ciri umum CoinLocker:
- Menyebar dengan menggunakan email (ZIP/RAR/Cab, ekstensi ganda (pdf.exe) , website
- Menambahkan ekstensi tambahan *.encrypted pada setiap file yang di enkripsi
- Membuat file Coin.Locker.txt di setiap folder (file yang di enkripsi)
- Menghapus file Shadow Volume Copies, sehingga mempersulit untuk recovery
- $100 dengan menggunakan Bitcoin
10. Locker V.x.xx (x.xx adalah varian dari ransomware Locker, contoh : Locker v1.7, Locker V2.16, Locker V.3.5.3, Locker V.5.5.2)
Ciri umum Locker:
- Menyebar dengan menggunakan email (ZIP/RAR/Cab) dan internet dengan memanfaatkan celah keamanan aplikasi
- Menghapus file Shadow Volume Copies, sehingga mempersulit untuk recovery data
- Mematikan proses aplikasi VirtualBox/VmWare
- %AppData%
- %LocalAppData%
- %ProgramData%
- C:\Windows\Systm32 atau C:\Windows\Syswow64\%file acak%.exe
- C:\ProgramData\Steg\steg.exe
- C:\ProgramData\Tor
- C:\ProgramData\rkcl
- data.aa0 – Berisi file yang di enkripsi
- data.aa1 – Tidak diketahui
- data.aa6 – Alamat bitcoin
- data.aa7 – RSA key
- data.aa8 – Versi Ransomware Locker
- data.aa9 – Tanggal Ransomware Locker menginfeksi komputer
- data.aa11 - Tidak diketahui
- data.aa12 - Tidak diketahui
- priv.key – Berisi key file untuk decrypt file. Key ini hanya akan ada pada saat anda melakukan pembayaran tebusan
- ldr.exe, rckl.exe
- $25 dengan menggunakan Bitcoin
Komentar
Posting Komentar