Ameaça BitCrypt combina ransomware e roubo de Bitcoin
A Trend Micro, líder mundial em soluções de segurança na era da nuvem, chama a atenção para duas novas variações de ataque da ameaça BitCrypt. Os novos golpes combinam a característica ransomware do BitCrypt com o roubo de fundos de várias carteiras de criptomoedas, como o Bitcoin.
A primeira variante, nomeada TROJ_CRIBIT.A, acrescenta a extensão “.bitcrypt” a quaisquer arquivos criptografados e utiliza bilhete de resgate somente em inglês. A segunda variante, TROJ_CRIBIT.B, anexa a extensão “.bitcrypt 2” e usa um bilhete de resgate multilíngue com 10 línguas inclusas que aparecem na seguinte ordem:
- Inglês
- Francês
- Alemão
- Russo
- Italiano
- Espanhol
- Português
- Japonês
- Chinês
- Árabe
O bilhete de resgate em inglês diz o seguinte:
Atenção!!!
Seu BitCrypt ID: [ID da transação]
Todos os arquivos necessários no seu PC (fotos, documentos, bases de dados e outros) foram codificados com uma chave única RSA- 1024.
A decodificação de seus arquivos só é possível através de um programa especial que é único para cada ID BitCrypt. Especialistas de serviços de reparação de computadores e laboratórios de antivírus não serão capazes de ajudá-lo. Para receber o programa decodificador, você precisa clicar neste link [site malicioso no1] e seguir as instruções.
Se o link atual não funcionar e você precisar restaurar os arquivos, siga estas instruções:
- Tente abrir este link [site malicioso no2]. Se você não conseguir, avance para o passo 2.
- Baixe e instale o navegador “TOR” [Website do Projeto Tor]
- Após a instalação, inicie o navegador “TOR” e coloque o seguinte endereço [site malicioso no 3]
Lembre-se, quanto mais rápido você agir, mais chances de recuperar seus arquivos sem danos.
O texto em outras línguas é bastante semelhante, embora pareçam ter sido traduzidos mecanicamente. Além de anexar a extensão “.bitcrypt 2” e apresentar o bilhete, o TROJ_CRIBIT.B muda o papel de parede para um fundo preto sólido, com o texto em branco notificando o usuário de seu atual problema.
Figura 1 . Papel de parede
Para tornar a análise mais difícil, este ransomware não deixa uma cópia de si mesmo no sistema, tornando difícil adquirir uma cópia para estudo de comportamento e identificação do vetor de infecção.
Ao investigar mais, a Trend Micro descobriu uma variante do FAREIT, malware que rouba informação – trata-se do TSPY_FAREIT.BB, que faz o download do TROJ_CRIBIT.B. Essa variação também possui a capacidade de roubar informações de várias carteiras Bitcoin por meio da tentativa de extrair informações a partir dos arquivos wallet.dat (Bitcoin), electrum.dat (Electrum) e .wallet (MultiBit).
Como com o CryptoLocker, os usuários são encaminhados para um site com aparência profissional com o objetivo de desbloquearem seus arquivos. O site é, na verdade, parte da Deep Web, uma vez que só é acessível se for utilizado o navegador Tor. No entanto, os criminosos têm cuidadosamente fornecido um link para o Tor2Web, um serviço que permite aos usuários visitar sites na Deep Web sem usar o Tor. Eles são requisitados a usar o ID BitCrypt encontrado no bilhete de resgate (vide Figura 2 abaixo).
Figura 2 . ID BitCrypt de login
Após fazer o login, o usuário é direcionado para a página inicial do BitCrypt, que se descreve como Bitcrypt Software Inc. e fornece ao usuário instruções sobre como recuperar seus dados.
Ao mesmo tempo, contudo, é apresentada uma demanda de pagamento de 0,4 BTC – isso, em valores atuais, pode ser convertido em cerca de 240 dólares. Os cibercriminosos até mesmo incluem uma página de FAQ em seu site, como pode ser vista na imagem abaixo.
Figura 3. FAQ do BitCrypt
O BitCrypt é apenas a última dentre muitas ameaças relacionadas ao Bitcoin identificadas em tempos recentes. Mesmo com a queda do valor do Bitcoin – o menor desde seus picos no final do ano passado – o montante ainda é grande o suficiente para que seja um alvo valioso para roubos.
Sobre a Trend Micro
Trend Micro Incorporated, líder global em segurança em nuvem, proporciona a empresas e consumidores um mundo seguro para a troca de informações digitais, por meio da segurança para conteúdo na internet e gerenciamento de ameaças. Com mais de 20 anos de experiência, a empresa é pioneira em segurança para servidor. Nós oferecemos segurança altamente conceituada, baseada em cliente, servidor e em nuvem, que atende às necessidades de nossos consumidores e parceiros, impede ameaças mais rápido e protege dados em ambientes físicos, virtualizados e em nuvem. Potencializados pela infraestrutura Trend Micro™ SmartProtection Network™, nossos produtos, serviços e segurança, líderes na indústria de cloud-computing, impedem a ação de ameaças de onde quer que elas surjam, na internet, com o apoio de mais de 1.200 especialistas em inteligência de ameaças em todo o mundo. Para informações adicionais, visite www.trendmicro.com.