Filecoder.D Fidye Yazılımı
Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartı
EnigmaSoft Tehdit Puan Kartları, araştırma ekibimiz tarafından toplanan ve analiz edilen farklı kötü amaçlı yazılım tehditleri için değerlendirme raporlarıdır. EnigmaSoft Tehdit Puan Kartları, gerçek dünya ve potansiyel risk faktörleri, eğilimler, sıklık, yaygınlık ve kalıcılık dahil olmak üzere çeşitli ölçümleri kullanarak tehditleri değerlendirir ve sıralar. EnigmaSoft Tehdit Puan Kartları, araştırma verilerimize ve ölçümlerimize dayalı olarak düzenli olarak güncellenir ve kötü amaçlı yazılımları sistemlerinden kaldırmak için çözümler arayan son kullanıcılardan tehditleri analiz eden güvenlik uzmanlarına kadar çok çeşitli bilgisayar kullanıcıları için yararlıdır.
EnigmaSoft Tehdit Puan Kartları, aşağıdakiler de dahil olmak üzere çeşitli yararlı bilgiler görüntüler:
Popülerlik Sıralaması: Belirli bir tehdidin EnigmaSoft'un Tehdit Veritabanındaki sıralaması.
Önem Düzeyi: Tehdit Değerlendirme Kriterlerimizde açıklandığı gibi, risk modelleme sürecimize ve araştırmamıza dayalı olarak sayısal olarak gösterilen, bir nesnenin belirlenen önem düzeyi.
Enfekte Bilgisayarlar: SpyHunter tarafından bildirildiği üzere, virüslü bilgisayarlarda tespit edilen belirli bir tehdidin doğrulanmış ve şüphelenilen vakalarının sayısı.
Ayrıca bkz. Tehdit Değerlendirme Kriterleri .
| Tehlike seviyesi: | 100 % (Yüksek) |
| Etkilenen Bilgisayarlar: | 84 |
| İlk görüş: | January 24, 2013 |
| Son görülen: | October 19, 2026 |
| Etkilenen İşletim Sistemleri: | Windows |
Filecoder.D fidye yazılımı, kurbanları kendi belgelerine, fotoğraflarına ve diğer kişisel dosyalarına erişimden mahrum bırakarak fidye ödenene kadar bilgisayarları kilitleyen tehlikeli bir dosya şifreleme tehdididir. Mümkün olan en yüksek tehlike derecesine sahip olan bu kötü amaçlı yazılım, 2013 başlarından günümüze kadar uzanan tespitlerle uzun bir süredir aktif olarak görülmektedir ve güvenlik araştırmacıları tarafından takip edilmeye devam edilen aktif bir tehdit olduğunu göstermektedir.
İçindekiler
Filecoder.D fidye yazılımı ne yapar?
Bir sistemde aktif hale geldikten sonra, Filecoder.D yerel sürücüleri belgeler, resimler, PDF'ler ve Microsoft Office dosyaları gibi değerli dosya türleri için tarar ve bunları güçlü şifreleme yöntemleri kullanarak şifreler; bu da verilerin saldırganlar tarafından tutulan özel bir şifre çözme anahtarı olmadan okunamaz hale gelmesine neden olur. Kötü amaçlı yazılım, bu işlemi gerçekleştirmek için Windows şifreleme kütüphanelerinden yararlanır; bu da yedekleme olmadan dosyaların manuel olarak kurtarılmasını son derece zor veya imkansız hale getirir.
Bu tehditle ilişkili özellikle yıkıcı bir davranış, kullanıcıların dosyaların önceki sürümlerini geri yüklemelerine olanak tanıyan yerleşik Windows özelliği olan Birim Gölge Kopyalarını silme girişimidir. Gölge kopyalarını silmek için komutlar çalıştırarak ve ilgili sistem hizmetlerini devre dışı bırakarak, fidye yazılımı kurbanların şifrelenmiş verileri kurtarmak için yerel Windows araçlarını kolayca kullanamamalarını sağlar ve talep edilen fidyeyi ödeme baskısını artırır. Ayrıca, güvenlik araçlarını devre dışı bırakmak veya yükseltilmiş ayrıcalıklarla çalışabilmesini sağlamak için sistem hizmetleri ve süreçleriyle etkileşime girmeye çalışabilir ve yürütülmesi sırasında PowerShell gibi komut dosyası bileşenlerini kullandığı görülmüştür; bu, meşru sistem etkinliğiyle karışmak için modern fidye yazılımı aileleri arasında yaygın bir taktiktir.
Nasıl Yayılıyor?
Çoğu fidye yazılımı gibi, Filecoder.D de genellikle tek bir sabit dağıtım kanalı yerine aldatıcı dağıtım yöntemlerine dayanır. Bu tehdit kategorisi için yaygın enfeksiyon vektörleri arasında fatura veya belge gibi görünen kötü amaçlı e-posta ekleri, spam mesajlarındaki virüslü bağlantılar, yamalanmamış yazılım güvenlik açıklarından yararlanan istismar kitleri, güvenilmez web sitelerinden indirilen dosyalar ve korsan yazılımlar veya kırılmış uygulamalar bulunur. Kullanıcılar, kötü amaçlı bir dosyayı açarak veya tehlikeye atılmış bir belgedeki makroları etkinleştirerek farkında olmadan enfeksiyonu tetikleyebilirler.
Kullanıcılar için Riskler
Filecoder.D bulaşmasının sonuçları ciddi olabilir. Özellikle yedekleme yoksa, mağdurlar aile fotoğrafları, mali kayıtlar ve iş belgeleri de dahil olmak üzere yeri doldurulamaz dosyalara kalıcı olarak erişimlerini kaybedebilirler. Veri kaybının ötesinde, fidye ödemek saldırganların çalışan bir şifre çözme anahtarı sağlayacağının garantisini vermez ve bunu yapmak yalnızca daha fazla suç faaliyetini finanse eder. Enfekte sistemler ayrıca performans düşüşü, devre dışı bırakılmış güvenlik özellikleri ve ek kötü amaçlı yazılımlara karşı daha fazla savunmasızlık yaşayabilir.
Enfeksiyon Belirtileri
Kullanıcılar, aniden erişilemez hale gelen veya alışılmadık uzantılar gösteren dosyalara, masaüstünde veya klasörlerde beliren fidye notlarına, sistem performansında gözle görülür bir yavaşlamaya, beklenmedik ödeme talep eden açılır pencerelere ve kayıp gölge kopyalarına veya yedekleme geri yükleme noktalarına dikkat etmelidir. Açıklama yapılmadan çalışan sistem hizmetleri veya komut dosyası araçlarıyla ilgili olağandışı etkinlikler de bir uyarı işareti olabilir.
Korunmanın Yolları
Fidye yazılımı bulaşma riskini azaltmak için kullanıcılar önemli dosyalarını düzenli olarak harici veya çevrimdışı bir konuma yedeklemeli, işletim sistemini ve tüm yazılımları en son güvenlik yamalarıyla güncel tutmalı, bilinmeyen veya şüpheli e-postalardan gelen ekleri veya bağlantıları açmaktan kaçınmalı ve korsan yazılım indirmekten uzak durmalıdır. Güvenilir güvenlik yazılımı çalıştırmak, güvenlik duvarı korumasını etkinleştirmek ve ofis belgelerindeki makrolar konusunda dikkatli olmak da önemli adımlardır. Güncel yedeklemeleri korumak, fidye ödemeden fidye yazılımı saldırısından kurtulmanın en güvenilir yoludur.
Analiz raporu
Genel bilgi
| Soyadı: | Filecoder.D Ransomware |
|---|---|
| İmza durumu: | No Signature |
Bilinen Örnekler
Bilinen Örnekler
Bu bölümde, bu aileyle ilişkili olduğuna inanılan diğer dosya örnekleri listelenmiştir.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Dosya boyutu:
678.91 KB.678912 bayt
|
Windows Taşınabilir Çalıştırılabilir Dosya Özellikleri
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Daha Fazla Göster
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dosya Özellikleri
- HighEntropy
- No Version Info
- x86
Blok Bilgileri
Blok Bilgileri
Analiz sırasında EnigmaSoft, dosya örneklerini sınıflandırma ve diğer örneklerle karşılaştırma için mantıksal bloklara ayırır. Bloklar, kötü amaçlı yazılım tespit kuralları oluşturmak ve dosya örneklerini paylaşılan kaynak koduna, işlevselliğe ve diğer ayırt edici özelliklere ve niteliklere göre gruplara ayırmak için kullanılabilir. Bu bölümde, bu blok verilerinin bir özeti ve EnigmaSoft tarafından yapılan sınıflandırması listelenmiştir. Ayrıca, mevcutsa, blok verilerinin görsel bir temsili de gösterilmektedir.| Toplam Blok Sayısı: | 2,658 |
|---|---|
| Potansiyel Olarak Zararlı Bloklar: | 109 |
| Beyaz Listeye Alınan Bloklar: | 2,549 |
| Bilinmeyen Bloklar: | 0 |
Görsel Harita
? - Bilinmeyen Blok
x - Potansiyel Olarak Kötü Amaçlı Engelleme
Değiştirilen Dosyalar
Değiştirilen Dosyalar
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen, taşınan ve/veya silinen dosyalar listelenmiştir. Dosya sistemi etkinliği, kötü amaçlı yazılımların işletim sisteminde nasıl çalıştığına dair değerli bilgiler sağlayabilir.| Dosya | Özellikler |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Sicil Değişiklikleri
Sicil Değişiklikleri
Bu bölümde, bu ailedeki örnekler tarafından oluşturulan, değiştirilen ve/veya silinen kayıt defteri anahtarları ve değerleri listelenmiştir. Windows Kayıt Defteri etkinliği, kötü amaçlı yazılımların işlevselliği hakkında değerli bilgiler sağlayabilir. Ek olarak, kötü amaçlı yazılımlar genellikle, ilk enfeksiyon sistemi tehlikeye attıktan sonra otomatik olarak başlamasına ve süresiz olarak kalmasına olanak sağlamak için kayıt defteri değerleri oluşturur.| Anahtar::Değer | Veri | API Adı |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Windows API Kullanımı
Windows API Kullanımı
Bu bölümde, bu ailedeki örnekler tarafından kullanılan Windows API çağrıları listelenmiştir. Windows API kullanım analizi, keylogging, güvenlik ayrıcalığı yükseltme, veri şifreleme, veri sızdırma, antivirüs yazılımlarına müdahale ve ağ isteği manipülasyonu gibi kötü amaçlı faaliyetleri belirlemeye yardımcı olabilecek değerli bir araçtır.| Kategori | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Daha Fazla Göster
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Kabuk Komutu Yürütme
Kabuk Komutu Yürütme
Bu bölümde, bu ailedeki örnekler tarafından çalıştırılan Windows kabuk komutları listelenmiştir. Windows kabuk komutları genellikle kötü amaçlı yazılımlar tarafından zararlı amaçlarla kullanılır ve güvenlik ayrıcalıklarını yükseltmek, diğer kötü amaçlı yazılımları indirip çalıştırmak, güvenlik açıklarından yararlanmak, veri toplamak ve sızdırmak ve kötü amaçlı faaliyetleri gizlemek için kullanılabilir.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Daha Fazla Göster
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
