Ransomware Filecoder.D
Cartoncino segnapunti di minaccia
Scheda di valutazione delle minacce di EnigmaSoft
Le EnigmaSoft Threat Scorecard sono rapporti di valutazione per diverse minacce malware che sono state raccolte e analizzate dal nostro team di ricerca. Le EnigmaSoft Threat Scorecard valutano e classificano le minacce utilizzando diverse metriche tra cui fattori di rischio reali e potenziali, tendenze, frequenza, prevalenza e persistenza. Le EnigmaSoft Threat Scorecard vengono aggiornate regolarmente in base ai dati e alle metriche della nostra ricerca e sono utili per un'ampia gamma di utenti di computer, dagli utenti finali che cercano soluzioni per rimuovere il malware dai loro sistemi agli esperti di sicurezza che analizzano le minacce.
Le schede di valutazione delle minacce di EnigmaSoft mostrano una serie di informazioni utili, tra cui:
Classifica di popolarità: la posizione di una particolare minaccia nel database delle minacce di EnigmaSoft.
Livello di gravità: il livello di gravità determinato di un oggetto, rappresentato numericamente, in base al nostro processo di modellazione del rischio e alla nostra ricerca, come spiegato nei nostri criteri di valutazione delle minacce .
Computer infetti: il numero di casi confermati e sospetti di una particolare minaccia rilevati su computer infetti come riportato da SpyHunter.
Vedere anche Criteri di valutazione delle minacce .
| Livello di minaccia: | 100 % (Alto) |
| Computer infetti: | 84 |
| Visto per la prima volta: | January 24, 2013 |
| Ultima visualizzazione: | October 19, 2026 |
| Sistemi operativi interessati: | Windows |
Filecoder.D Ransomware è una pericolosa minaccia che cripta i file e prende di mira i computer Windows con l'obiettivo di impedire alle vittime di accedere ai propri documenti, foto e altri file personali fino al pagamento di un riscatto. Classificato con il livello di pericolosità più elevato, questo malware è stato rilevato in rete per un lungo periodo, con segnalazioni che vanno dai primi mesi del 2013 fino alle attività più recenti, a dimostrazione del fatto che rimane una minaccia attiva che i ricercatori nel campo della sicurezza continuano a monitorare.
Sommario
Cosa fa il ransomware Filecoder.D
Una volta attivo su un sistema, Filecoder.D analizza le unità locali alla ricerca di file di valore, come documenti, immagini, PDF e file di Microsoft Office, e li crittografa utilizzando robusti algoritmi crittografici, rendendo i dati illeggibili senza una chiave di decrittazione speciale in possesso degli aggressori. Il malware sfrutta le librerie di crittografia di Windows per eseguire questo processo, rendendo il recupero manuale dei file estremamente difficile o impossibile senza un backup.
Un comportamento particolarmente distruttivo associato a questa minaccia è il tentativo di eliminare le copie shadow del volume, la funzionalità integrata di Windows che consente agli utenti di ripristinare le versioni precedenti dei file. Eseguendo comandi per eliminare le copie shadow e disabilitando i servizi di sistema correlati, il ransomware impedisce alle vittime di utilizzare facilmente gli strumenti nativi di Windows per recuperare i dati crittografati, aumentando la pressione per il pagamento del riscatto richiesto. Può anche tentare di interagire con i servizi e i processi di sistema per disabilitare gli strumenti di sicurezza o assicurarsi di poter essere eseguito con privilegi elevati, ed è stato osservato che utilizza componenti di scripting come PowerShell durante la sua esecuzione, una tattica comune tra le moderne famiglie di ransomware per mimetizzarsi con la legittima attività di sistema.
Come si diffonde
Come la maggior parte dei ransomware, Filecoder.D si basa in genere su metodi di distribuzione ingannevoli piuttosto che su un singolo canale di diffusione fisso. I vettori di infezione più comuni per questa tipologia di minaccia includono allegati e-mail dannosi camuffati da fatture o documenti, link infetti in messaggi di spam, exploit kit che sfruttano vulnerabilità software non corrette, download in bundle da siti web non affidabili e software pirata o applicazioni crackate. Gli utenti possono inconsapevolmente attivare l'infezione aprendo un file dannoso o abilitando macro in un documento compromesso.
Rischi per gli utenti
Le conseguenze di un'infezione da Filecoder.D possono essere gravi. Le vittime potrebbero perdere definitivamente l'accesso a file insostituibili, tra cui foto di famiglia, documenti finanziari e documenti di lavoro, soprattutto in assenza di backup. Oltre alla perdita di dati, il pagamento del riscatto non garantisce che gli aggressori forniranno una chiave di decrittazione funzionante e, anzi, finanzia ulteriori attività criminali. I sistemi infetti potrebbero inoltre subire un degrado delle prestazioni, la disattivazione delle funzionalità di sicurezza e una maggiore esposizione ad altri malware.
Segni di infezione
Gli utenti dovrebbero prestare attenzione a file che diventano improvvisamente inaccessibili o che presentano estensioni insolite, a note di riscatto che compaiono sul desktop o all'interno delle cartelle, a un notevole rallentamento delle prestazioni del sistema, a pop-up inaspettati che richiedono un pagamento e alla mancanza di copie shadow o punti di ripristino del backup. Anche attività insolite che coinvolgono servizi di sistema o strumenti di scripting in esecuzione senza una spiegazione possono essere un segnale di allarme.
Come rimanere protetti
Per ridurre il rischio di infezioni da ransomware, gli utenti dovrebbero eseguire regolarmente il backup dei file importanti in una posizione esterna o offline, mantenere aggiornati il sistema operativo e tutti i software con le patch di sicurezza più recenti, evitare di aprire allegati o link provenienti da email sconosciute o sospette e astenersi dal scaricare software pirata. Anche l'utilizzo di un software di sicurezza affidabile, l'attivazione della protezione firewall e la cautela nell'uso delle macro nei documenti di Office sono passaggi essenziali. Mantenere backup aggiornati rimane il modo più affidabile per riprendersi da un attacco ransomware senza dover pagare un riscatto.
Rapporto di analisi
Informazione Generale
| Cognome: | Filecoder.D Ransomware |
|---|---|
| Stato della firma: | No Signature |
Campioni noti
Campioni noti
Questa sezione elenca altri campioni di file che si ritiene siano associati a questa famiglia.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Dimensione del file:
678.91 KB.678912 byte
|
Attributi di Windows Portable Executable
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mostra altro
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caratteristiche dei file
- HighEntropy
- No Version Info
- x86
Informazioni sul blocco
Informazioni sul blocco
Durante l'analisi, EnigmaSoft suddivide i campioni di file in blocchi logici per la classificazione e il confronto con altri campioni. I blocchi possono essere utilizzati per generare regole di rilevamento del malware e per raggruppare i campioni di file in famiglie in base al codice sorgente condiviso, alla funzionalità e ad altri attributi e caratteristiche distintive. Questa sezione elenca un riepilogo dei dati dei blocchi, nonché la loro classificazione da parte di EnigmaSoft. Viene inoltre visualizzata una rappresentazione grafica dei dati dei blocchi, ove disponibile.| Blocchi totali: | 2,658 |
|---|---|
| Blocchi potenzialmente dannosi: | 109 |
| Blocchi consentiti: | 2,549 |
| Blocchi sconosciuti: | 0 |
Mappa visiva
? - Blocco sconosciuto
x - Blocco potenzialmente dannoso
File modificati
File modificati
Questa sezione elenca i file creati, modificati, spostati e/o eliminati dai campioni di questa famiglia. L'attività del file system può fornire preziose informazioni sul funzionamento del malware sul sistema operativo.| File | Attributi |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Modifiche al registro
Modifiche al registro
Questa sezione elenca le chiavi e i valori del registro di sistema creati, modificati e/o eliminati dai campioni di questa famiglia. L'attività del Registro di sistema di Windows può fornire preziose informazioni sulla funzionalità del malware. Inoltre, il malware spesso crea valori nel registro di sistema per potersi avviare automaticamente e persistere indefinitamente dopo che un'infezione iniziale ha compromesso il sistema.| Chiave::Valore | Dati | Nome API |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Utilizzo delle API di Windows
Utilizzo delle API di Windows
Questa sezione elenca le chiamate API di Windows utilizzate dagli esempi di questa famiglia. L'analisi dell'utilizzo delle API di Windows è uno strumento prezioso che può aiutare a identificare attività dannose, come keylogging, escalation dei privilegi di sicurezza, crittografia dei dati, esfiltrazione di dati, interferenza con software antivirus e manipolazione delle richieste di rete.| Categoria | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Mostra altro
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Esecuzione di comandi shell
Esecuzione di comandi shell
Questa sezione elenca i comandi della shell di Windows eseguiti dai campioni di questa famiglia. I comandi della shell di Windows vengono spesso sfruttati dai malware per scopi illeciti e possono essere utilizzati per elevare i privilegi di sicurezza, scaricare e avviare altri malware, sfruttare le vulnerabilità, raccogliere ed esfiltrare dati e nascondere attività dannose.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Mostra altro
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
