พบมัลแวร์ StalinLocker ไล่ลบไฟล์ผู้ใช้หากไม่สามารถกรอกโค้ดที่ถูกต้อง

MalwareHunter ได้พบมัลแวร์ที่มีพฤติกรรมการทำลายล้างและล็อกหน้าจอที่ชื่อ Stalinlocker หรือ StalinScreamer โดยจะให้เวลาเหยื่อ 10 นาทีเพื่อกรอกโค้ดให้ถูกต้องเพื่อหยุดการทำงาน มิเช่นนั้นจะลบไฟล์บนไดร์ฟของเครื่อง นอกจากนี้ในขณะที่รันอยู่ยังมีการเล่นเพลงชาติของสหภาพสาธารณรัฐสังคมนิยมโซเวียตพร้อมทั้งแสดงรูปหน้าจอเป็น Stalin จากนั้นก็จะนับถอยหลังไปเรื่อยๆ รอลบไฟล์

credit : Bleepingcomputer.com

จากการศึกษาพฤติกรรมสิ่งที่พบคือ

มีการแตกไฟล์ชื่อ USSR_Anthem.mp3 ใน ‘%UserProfile%\AppData\Local ‘
ทำการคัดลอกตัวเองไปยัง ‘%UserProfile%\AppData\Local\ชื่อ stalin.exe’ และสร้างไฟล์ Autorun ขึ้นมาเพื่อเริ่มการทำลายล้างและเปลี่ยนภาพหน้าจอเมื่อผู้ใช้ล็อกอินเข้าสู่คอมพิวเตอร์
สร้าง fl.dat ใน ‘%UserProfile%\AppData\Local’ และเขียนจำนวนของวินาทีที่เหลืออยู่
พยายามจบโปรเซสนอกเหนือจาก Skype และ Discord
ปิดโปรเซสของ Explorer.exe และ Taskmgr.exe
สร้างตารางงานที่ชื่อ ‘Driver Update’ เพื่อเรียกใช้งาน Stalin.exe

ทางทีมงาน MalwareHunter ค้นพบว่าโค้ดที่ให้ใส่นั้นเกิดจากการลบวันที่ปัจจุบันด้วย 1922.12.30 หากผู้ใช้งานตีโจทย์นี้ได้มันก็จะออกจากการทำลายล้างพร้อมทั้งลบ Autorun ทิ้งด้วย โดยอันที่จริงแล้วมันตั้งใจที่จะลบไฟล์ทั้งหมดที่อยู่ในแต่ละไดร์ฟที่พบบนคอมพิมเตอร์เลยทีเดียว ซึ่งมันจะเริ่มทำจากอักษร A ถึง Z ของไดร์ฟตามโค้ดด้านบน อย่างไรก็ตามผู้ให้บริการด้านความมั่นคงปลอดภัยส่วนใหญ่สามารถป้องกันได้ดังนั้นอย่าลืมติดตั้ง Antivirus ไว้เสมอ

———————————————————————–

ที่มา : TECHTALK Thai / May 15, 2018

Link : https://www.techtalkthai.com/malware-stalinlocker-wipes-your-files-if-cannot-give-correct-code/

A new in-development screenlocker/wiper called StalinLocker, or StalinScreamer, was discovered by MalwareHunterTeam that gives you 10 minutes to enter a code or it will try to delete the contents of the drives on the computer. While running, it will display screen that shows Stalin while playing the USSR anthem and displaying a countdown until files are deleted.

Enter Code Source / credit : Bleepingcomputer.com

Source code to delete files on drive letters A-Z

When executed, StalinLocker will perform the following actions:

Extract the “USSR_Anthem.mp3” file to the %UserProfile%\AppData\Local folder and play it. This anthem is the same one heard in this YouTube video, but of much worse quality.
It will copy itself to %UserProfile%\AppData\Local\stalin.exe and create an autorun called “Stalin” that starts the screenlocker/wiper when the user logs into the computer.
It will create %UserProfile%\AppData\Local\fl.dat and write the current amount of seconds left divided by 3. So each time you start the program, the countdown is significantly less.
Attempt to terminate processes other than Skype or Discord.
Terminate Explorer.exe and taskmgr.exe.
Tries to create a Scheduled Task called “Driver Update” to launch Stalin.exe. This part of the code is currently throwing errors.

StalinLocker will then display the above lock screen that contains a 10 minutes countdown until your files are deleted or you enter a code. According to MalwareHunterTeam, this code is derived by subtracting the current date of when the program was executed by the date 1922.12.30. If the user enters the correct code, the wiper will exit and delete the autorun.

On the other hand, if the code is not entered by the time the countdown reaches zero, the screenlocker will attempt to delete all of the files on each drive letter found on the computer. This is done by going through all drive letters from A to Z and deleting any that are accessible as shown below.

This wiper is currently in development, but could easily be made into a workable state. Thankfully, most security vendors are detecting this either through definitions or heuristics, so make sure that you have an anti-virus program installed and updated to the latest definitions.

———————————————————————–

By Lawrence Abrams

From : BLEEPINGCOMPUTER / May 14, 2018

Link : https://www.bleepingcomputer.com/news/security/stalinlocker-deletes-your-files-unless-you-enter-the-right-code/

Author: Admin S.10

StalinLocker Deletes Your Files Unless You Enter the Right Code

Author: Admin S.10

พบมัลแวร์ StalinLocker ไล่ลบไฟล์ผู้ใช้หากไม่สามารถกรอกโค้ดที่ถูกต้อง

Author: Admin S.10

Related posts

StalinLocker Deletes Your Files Unless You Enter the Right Code

Author: Admin S.10

Related posts