Ransomware Filecoder.D
Cartão de pontuação de ameaças
EnigmaSoft Threat Scorecard
Os EnigmaSoft Threat Scorecards são relatórios de avaliação para diferentes ameaças de malware que foram coletadas e analisadas por nossa equipe de pesquisa. Os Scorecards de Ameaças da EnigmaSoft avaliam e classificam as ameaças usando várias métricas, incluindo fatores de risco reais e potenciais, tendências, frequência, prevalência e persistência. Os Scorecards de Ameaças da EnigmaSoft são atualizados regularmente com base em nossos dados e métricas de pesquisa e são úteis para uma ampla gama de usuários de computador, desde usuários finais que buscam soluções para remover malware de seus sistemas até especialistas em segurança que analisam ameaças.
Os Scorecards de Ameaças da EnigmaSoft exibem uma variedade de informações úteis, incluindo:
Classificação de Popularidade: A classificação de uma ameaça específica no Banco de Dados de Ameaças da EnigmaSoft.
Nível de gravidade: O nível de gravidade determinado de um objeto, representado numericamente, com base em nosso processo de modelagem de risco e pesquisa, conforme explicado em nossos Critérios de Avaliação de Ameaças .
Computadores infectados: O número de casos confirmados e suspeitos de uma determinada ameaça detectada em computadores infectados conforme relatado pelo SpyHunter.
Consulte também Critérios de Avaliação de Ameaças .
| Nível da Ameaça: | 100 % (Alto) |
| Computadores infectados: | 84 |
| Visto pela Primeira Vez: | January 24, 2013 |
| Visto pela Última Vez: | October 19, 2026 |
| SO (s) Afetados: | Windows |
O ransomware Filecoder.D é uma ameaça perigosa de criptografia de arquivos que visa computadores Windows com o objetivo de bloquear o acesso das vítimas a seus documentos, fotos e outros arquivos pessoais até que um resgate seja pago. Classificado com o nível máximo de perigo, este malware tem sido observado em atividade há um longo período, com detecções que abrangem desde o início de 2013 até atividades recentes, demonstrando que continua sendo uma ameaça ativa que pesquisadores de segurança monitoram constantemente.
Índice
O que faz o ransomware Filecoder.D
Uma vez ativo em um sistema, o Filecoder.D examina as unidades locais em busca de tipos de arquivos valiosos — como documentos, imagens, PDFs e arquivos do Microsoft Office — e os criptografa usando rotinas criptográficas fortes, tornando os dados ilegíveis sem uma chave de descriptografia especial que os atacantes possuem. O malware utiliza as bibliotecas de criptografia do Windows para realizar esse processo, tornando a recuperação manual dos arquivos extremamente difícil ou impossível sem um backup.
Um comportamento particularmente destrutivo associado a essa ameaça é a tentativa de excluir as Cópias de Sombra de Volume (VSC), o recurso integrado do Windows que permite aos usuários restaurar versões anteriores de arquivos. Ao executar comandos para excluir cópias de sombra e desativar serviços de sistema relacionados, o ransomware garante que as vítimas não possam usar facilmente as ferramentas nativas do Windows para recuperar os dados criptografados, aumentando a pressão para o pagamento do resgate exigido. Ele também pode tentar interagir com serviços e processos do sistema para desativar ferramentas de segurança ou garantir que possa ser executado com privilégios elevados, e já foi observado o uso de componentes de script, como o PowerShell, durante sua execução, uma tática comum entre as famílias de ransomware modernas para se misturar à atividade legítima do sistema.
Como se espalha
Como a maioria dos ransomwares, o Filecoder.D geralmente utiliza métodos de distribuição enganosos em vez de um único canal de entrega fixo. Os vetores de infecção comuns para essa categoria de ameaça incluem anexos maliciosos em e-mails disfarçados de faturas ou documentos, links infectados em mensagens de spam, kits de exploração que se aproveitam de vulnerabilidades de software não corrigidas, downloads agrupados de sites não confiáveis e softwares pirateados ou aplicativos crackeados. Os usuários podem, sem saber, desencadear a infecção ao abrir um arquivo malicioso ou habilitar macros em um documento comprometido.
Riscos para os usuários
As consequências de uma infecção pelo Filecoder.D podem ser graves. As vítimas podem perder permanentemente o acesso a arquivos insubstituíveis, incluindo fotos de família, registros financeiros e documentos de trabalho, especialmente se não houver backup. Além da perda de dados, o pagamento do resgate não garante que os atacantes fornecerão uma chave de descriptografia válida e, na verdade, só financia mais atividades criminosas. Os sistemas infectados também podem sofrer com desempenho reduzido, recursos de segurança desativados e maior exposição a outros malwares.
Sinais de infecção
Os usuários devem ficar atentos a arquivos que repentinamente se tornam inacessíveis ou exibem extensões incomuns, notas de resgate aparecendo na área de trabalho ou em pastas, uma queda perceptível no desempenho do sistema, pop-ups inesperados exigindo pagamento e ausência de cópias de sombra ou pontos de restauração de backup. Atividades incomuns envolvendo serviços do sistema ou ferramentas de script sendo executadas sem explicação também podem ser um sinal de alerta.
Como se manter protegido
Para reduzir o risco de infecções por ransomware, os usuários devem fazer backups regulares de arquivos importantes em um local externo ou offline, manter o sistema operacional e todos os softwares atualizados com os patches de segurança mais recentes, evitar abrir anexos ou links de e-mails desconhecidos ou suspeitos e abster-se de baixar softwares piratas. Utilizar softwares de segurança confiáveis, ativar a proteção do firewall e ter cautela com macros em documentos do Office também são medidas essenciais. Manter backups atualizados continua sendo a maneira mais confiável de se recuperar de um ataque de ransomware sem pagar resgate.
Relatório de análise
Informação geral
| Nome de família: | Filecoder.D Ransomware |
|---|---|
| Status da assinatura: | No Signature |
Amostras conhecidas
Amostras conhecidas
Esta seção lista outras amostras de arquivos que se acredita estarem associadas a esta família.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Tamanho do Arquivo:
678.91 KB.678912 bytes
|
Atributos do executável portátil do Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mostrar mais
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Características do arquivo
- HighEntropy
- No Version Info
- x86
Informações do bloco
Informações do bloco
Durante a análise, o EnigmaSoft divide as amostras de arquivos em blocos lógicos para classificação e comparação com outras amostras. Os blocos podem ser usados para gerar regras de detecção de malware e para agrupar amostras de arquivos em famílias com base no código-fonte compartilhado, funcionalidade e outros atributos e características distintivas. Esta seção apresenta um resumo desses dados de bloco, bem como sua classificação pelo EnigmaSoft. Uma representação visual dos dados de bloco também é exibida, quando disponível.| Total de blocos: | 2,658 |
|---|---|
| Blocos potencialmente maliciosos: | 109 |
| Blocos permitidos: | 2,549 |
| Blocos desconhecidos: | 0 |
Mapa visual
? - Bloco Desconhecido
x - Bloco Potencialmente Malicioso
Arquivos modificados
Arquivos modificados
Esta seção lista os arquivos que foram criados, modificados, movidos e/ou excluídos por amostras desta família. A atividade do sistema de arquivos pode fornecer informações valiosas sobre como o malware funciona no sistema operacional.| Arquivo | Atributos |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Modificações no Registro
Modificações no Registro
Esta seção lista as chaves e os valores do registro que foram criados, modificados e/ou excluídos por amostras desta família. A atividade do Registro do Windows pode fornecer informações valiosas sobre a funcionalidade do malware. Além disso, o malware frequentemente cria valores no registro para permitir que ele inicie automaticamente e persista indefinidamente após uma infecção inicial comprometer o sistema.| Chave::Valor | Dados | Nome da API |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Utilização da API do Windows
Utilização da API do Windows
Esta seção lista as chamadas da API do Windows usadas pelos exemplos desta família. A análise do uso da API do Windows é uma ferramenta valiosa que pode ajudar a identificar atividades maliciosas, como registro de teclas digitadas (keylogging), escalonamento de privilégios de segurança, criptografia de dados, exfiltração de dados, interferência com software antivírus e manipulação de solicitações de rede.| Categoria | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Mostrar mais
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Execução de comandos do shell
Execução de comandos do shell
Esta seção lista os comandos do shell do Windows executados pelas amostras desta família. Os comandos do shell do Windows são frequentemente explorados por malware para fins maliciosos e podem ser usados para elevar privilégios de segurança, baixar e executar outros malwares, explorar vulnerabilidades, coletar e exfiltrar dados e ocultar atividades maliciosas.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Mostrar mais
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
