Ransomware purporting to come from

Ransomware purporting to come from a phony government agency, something called the Central Security Treatment Organization, has been making the rounds, researchers say. The ransomware, which is already known by a number of names including Cry, CSTO ransomware, or Central Security Treatment Organization ransomware, uses the User Datagram Protocol (UDP) to communicate and the photo sharing service Imgur and Google Maps to carry out its infections to an extent, as well. A security researcher who goes under the guise MalwareHunterTeam discovered the malware last Thursday. Lawrence Abrams, who runs BleepingComputer.com, helped analyze the ransomware alongside MalwareHunterTeam and security researcher Daniel Gallagher. Abrams discussed their collected findings in a blog post Monday night. The three point out that the ransomware is still being analyzed so many of the details around it are still hazy; that includes how it’s being distributed and whether or not decryption is possible. What is known is that the malware has managed to hit 8,000 victims in almost two weeks so far. Abrams told Threatpost on Tuesday that when he started to analyze the ransomware with MalwareHunterTeam on Sept. 2 there were roughly 3,200 victims. That figure later ballooned to 6,800 two days later and when he checked on Monday, it had reached 8,000. The ransomware is still being developed too; Abrams claims Gallagher discovered a new sample earlier today. After machines are infected, Cry leaves ransom notes, “Recovery_[random_chars].html” and “!Recovery_[random_chars].txtencrypts” on a victim’s desktop, notifying them their files have been encrypted with the “.cry” extension – hence the name. The notes demand 1.1 bitcoin, or roughly $625 to decrypt them. From there, it uses the UDP protocol to relay information about the infected machine, including its Windows version, its Windows bit type, which service pack is installed, the computer’s name and CPU type to over 4,000 IP addresses. According to Abrams, this method is likely used to make it trickier for authorities to finger the command and control server’s location, a technique that has been used in the past by the Cerber ransomware strain. Researchers at Invincea saw a Cerber variant in May generating loads of outgoing UDP traffic, to the point that it was flooding subnets with UDP packets over port 6892. Experts didn’t rule out the possibility that the ransomware could be capable of carrying out a distributed denial of service attack. In addition to UDP, Cry also uses two other services not usually leveraged by ransomware: Imgur and Google Maps. The ransomware culls all the information it sends to the IP addresses and embeds it in a PNG image file and subsequently uploads to an Imgur photo gallery. “Once the file has successfully been uploaded, Imgur will respond with a unique name for the filename,” Abrams writes. “This filename (can) then be broadcasted over UDP to the 4096 IP addresses to notify the Command & Control server that a new victim has been infected.” The ransomware can also use Google Maps’ API to determine the Service Set Identifier (SSID) of packets sent by any nearby wireless networks. By using Windows’ WlanGetNetworkBssList function, Cry can get the list of wireless networks and SSIDs. After querying any SSIDs visible to the infected machine, it can use Google Maps to get the victims’ location. While the location data is no doubt valuable, Abrams claims it’s unclear what exactly it’s for, but admits it can likely be used to further scare a victim into paying. Abrams told Threatpost that while it wasn’t discovered until Sept. 1, it appears the developer behind Cry first began testing the waters several days before, on Aug. 25. Abrams, Gallagher and MalwareHunterTeam can see the developer began testing uploaded PNG files at the time with just the strings “LOLWTFAMIDOINGHERE.” While the Central Security Treatment Organization doesn’t exist, neither does the Department of Pre-Trial Settlement or the Federal Agency of Investigation, two other bogus groups that the ransomware touts itself as representing on its Tor payment site. The seal for the fake organization appears to borrow the crest, branches, and stars from the FBI’s logo and the eagle’s head from the CIA logo.

See more at: Cry Ransomware Uses UDP, Imgur, Google Maps https://wp.me/p3AjUX-vjF

ผลลัพธ์ (ไทย) 2:

ransomware ที่อ้างตัวว่ามาจากหน่วยงานของรัฐปลอมสิ่งที่เรียกว่าองค์การรักษาความปลอดภัยกลางได้รับการทำให้รอบนักวิจัยกล่าวว่า ransomware ซึ่งเป็นที่รู้จักกันอยู่แล้วโดยจำนวนของชื่อรวมทั้งร้องไห้ CSTO ransomware หรือกลางการรักษาความปลอดภัย ransomware องค์การการรักษาใช้ผู้ใช้ Datagram Protocol (UDP) ในการสื่อสารและการให้บริการแบ่งปันภาพถ่าย Imgur และ Google Maps เพื่อดำเนินการติดเชื้อในการ ขอบเขตเช่นเดียว นักวิจัยด้านความปลอดภัยที่ไปภายใต้หน้ากาก MalwareHunterTeam ค้นพบมัลแวร์เมื่อวันพฤหัสบดี อับราฮัมเรนซ์ที่วิ่ง BleepingComputer.com ช่วยวิเคราะห์ ransomware ข้าง MalwareHunterTeam และนักวิจัยด้านความปลอดภัยแดเนียลกัลลาเกอร์ อับราฮัมกล่าวถึงผลการวิจัยที่เก็บรวบรวมของพวกเขาในบล็อกโพสต์ในคืนวันจันทร์ ทั้งสามคนชี้ให้เห็นว่า ransomware ยังคงถูกวิเคราะห์จำนวนมากดังนั้นของรายละเอียดรอบ ๆ มันยังคงมีหมอก; ที่มีวิธีการที่จะถูกเผยแพร่และหรือไม่ถอดรหัสเป็นไปได้ สิ่งที่เป็นที่รู้จักกันว่าเป็นมัลแวร์ที่มีการจัดการที่จะตี 8,000 ผู้ที่ตกเป็นเหยื่อในเกือบสองสัปดาห์เพื่อให้ห่างไกล อับราฮัมบอก ThreatPost เมื่อวันอังคารว่าเมื่อเขาเริ่มต้นในการวิเคราะห์ ransomware กับ MalwareHunterTeam บน 2 กันยายนมีประมาณ 3,200 ผู้ที่ตกเป็นเหยื่อ ตัวเลขในภายหลังว่า ballooned ไป 6,800 สองวันต่อมาและเมื่อเขาตรวจสอบในวันจันทร์ที่มันได้ถึง 8,000 ransomware จะยังคงได้รับการพัฒนาจนเกินไป อับราฮัมอ้างว่ากัลลาเกอร์ค้นพบใหม่ตัวอย่างก่อนหน้านี้ในวันนี้ หลังจากที่เครื่องมีการติดเชื้อ, Cry ใบบันทึกค่าไถ่ "Recovery_ [random_chars] .html" และบนเดสก์ทอปของเหยื่อแจ้งไฟล์ของพวกเขาได้รับการเข้ารหัสที่มีนามสกุล ".cry" "Recovery_ [random_chars] .txtencrypts!" - ด้วยเหตุนี้ ชื่อ. หมายเหตุความต้องการ 1.1 Bitcoin หรือประมาณ $ 625 ถอดรหัสพวกเขา จากนั้นก็ใช้โปรโตคอล UDP ในการถ่ายทอดข้อมูลเกี่ยวกับเครื่องที่ติดเชื้อรวมทั้งรุ่นของ Windows ให้พิมพ์ bit Windows ซึ่งชุดการบริการที่มีการติดตั้งชื่อของคอมพิวเตอร์และประเภทของ CPU ไปกว่า 4,000 ที่อยู่ IP ตามที่อับราฮัมวิธีนี้มีแนวโน้มที่จะใช้ในการทำให้มันยุ่งยากสำหรับหน่วยนิ้วที่ตั้งของคำสั่งและการควบคุมเซิร์ฟเวอร์ของเทคนิคที่มีการใช้ในอดีตที่ผ่านมาโดยสายพันธุ์ ransomware Cerber นักวิจัยที่ Invincea เห็นแตกต่าง Cerber พฤษภาคมที่ก่อให้เกิดการโหลดของการจราจร UDP ขาออกไปยังจุดที่มันเป็นเครือข่ายย่อยน้ำท่วมที่มีแพ็คเก็ต UDP ผ่านพอร์ต 6892. ผู้เชี่ยวชาญไม่ได้ออกกฎความเป็นไปได้ว่า ransomware ที่อาจจะมีความสามารถในการดำเนินการกระจาย ปฏิเสธการโจมตีบริการ นอกจากนี้ในการ UDP ร้องไห้ยังใช้สองบริการอื่น ๆ มักจะไม่ยกระดับโดย ransomware: Imgur และ Google Maps ransomware สรรข้อมูลทั้งหมดที่ส่งไปยังที่อยู่ IP และฝังไว้ในไฟล์ภาพ PNG และต่อมาอัปโหลดไปยังแกลเลอรี่ภาพ Imgur "เมื่อไฟล์ที่ได้รับการประสบความสำเร็จในการอัปโหลด Imgur จะตอบสนองกับชื่อเฉพาะสำหรับชื่อไฟล์" อับราฮัมเขียน "ชื่อไฟล์นี้ (CAN) จากนั้นจะออกอากาศมากกว่า UDP กับ 4096 ที่อยู่ IP ที่จะแจ้งให้เซิร์ฟเวอร์สั่งการและการควบคุมที่เป็นเหยื่อใหม่ได้รับการติดเชื้อ." การ ransomware ยังสามารถใช้ API ของ Google แผนที่เพื่อตรวจสอบ Service Set Identifier (SSID) แพ็คเก็ตที่ส่งมาจากเครือข่ายไร้สายในบริเวณใกล้เคียงใด ๆ โดยใช้ฟังก์ชั่นของ Windows WlanGetNetworkBssList 'Cry ได้รับรายชื่อของเครือข่ายไร้สายและ SSIDs หลังจากการสอบถามใด ๆ SSIDs มองเห็นได้ด้วยเครื่องที่ติดเชื้อก็สามารถใช้ Google Maps จะได้รับตำแหน่งของเหยื่อ ในขณะที่ข้อมูลสถานที่ตั้งข้อสงสัยใดที่มีค่าเอบรัมส์อ้างว่ามันไม่ชัดเจนว่าสิ่งที่มันหา แต่ยอมรับว่ามันมีแนวโน้มที่จะสามารถนำมาใช้เพื่อสร้างความหวาดกลัวต่อเหยื่อเป็นเงิน อับราฮัมบอก ThreatPost ว่าในขณะที่มันก็ไม่ได้ค้นพบจนถึงวันที่ 1 กันยายนที่ปรากฏนักพัฒนาที่อยู่เบื้องหลังการร้องไห้ครั้งแรกที่เริ่มการทดสอบน้ำหลายวันก่อนเมื่อวันที่ 25 สิงหาคมเอบรัมส์กัลลาเกอร์และ MalwareHunterTeam สามารถดูนักพัฒนาเริ่มทดสอบ PNG ไฟล์ที่อัปโหลดที่ เวลาที่มีเพียงสตริง "LOLWTFAMIDOINGHERE." ในขณะที่องค์การการรักษาความปลอดภัยของกลางไม่ได้อยู่ไม่ไม่กรมก่อนการพิจารณาคดีส่วนต่างหรือหน่วยงานสืบสวนกลางแห่งสหรัฐอเมริกาสองกลุ่มปลอมอื่น ๆ ที่ ransomware ทำเป็นตัวเองว่าเป็นตัวแทนของมัน เว็บไซต์การชำระเงิน Tor ตราประทับสำหรับองค์กรปลอมที่ดูเหมือนจะยืมยอดสาขาและดาวจากโลโก้ของเอฟบีไอและหัวนกอินทรีจากโลโก้ของซีไอเอ.

ดูรายละเอียดเพิ่มเติมได้ที่: ร้องไห้ Ransomware ใช้ UDP, Imgur, Google Maps https://wp.me/ p3AjUX-vjF

ผลลัพธ์ (ไทย) 3:

Ransomware purporting มาจากรัฐบาลปลอม สิ่งที่เรียกว่าองค์กรรักษาความมั่นคงกลาง ได้รับการยก นักวิจัยกล่าวว่า ที่ ransomware ซึ่งเป็นที่รู้จักกันอยู่แล้ว โดยตัวเลขของชื่อรวมทั้งร้องไห้ของ ransomware หรือกลางการรักษาความปลอดภัยองค์กร Ransomware ใช้ User da-2 ( UDP ) สื่อสารและแบ่งปันภาพถ่ายและ imgur บริการ Google Maps เพื่อดําเนินของเชื้อมีขอบเขตเช่นกัน การรักษาความปลอดภัยนักวิจัยที่ไปภายใต้หน้ากาก malwarehunterteam ค้นพบมัลแวร์เมื่อวันพฤหัสบดี ลอเรนซ์ Abrams ที่วิ่ง bleepingcomputer.com ช่วยวิเคราะห์และ malwarehunterteam ransomware ร่วมกับนักวิจัยด้านความปลอดภัย แดเนียล กัลลาเกอร์ เอบรัมส์กล่าวถึงข้อมูลรวบรวมในบล็อกโพสต์เมื่อคืนวันจันทร์ สามจุดที่ ransomware ยังคงถูกวิเคราะห์มาก รายละเอียดรอบ ๆ มันยังไม่ชัดเจน นั่นรวมถึงว่ามันถูกกระจายหรือไม่และถอดรหัสได้ อะไรเป็นที่รู้จักกันก็คือมัลแวร์มีการจัดการเพื่อตี 8000 เหยื่อเกือบสองสัปดาห์แล้ว งั้นบอกเธรดโพสต์ในวันอังคารที่เมื่อเขาเริ่มที่จะวิเคราะห์ ransomware กับ malwarehunterteam สูง 2 มีประมาณ 200 คน รูปที่ต่อมา ballooned กับ 6800 สองวันต่อมาเมื่อเขาตรวจสอบในวันจันทร์ มันมีถึง 8 , 000 . ที่ ransomware จะยังคงได้รับการพัฒนาด้วย ; Abrams อ้างว่า กัลลาเกอร์ค้นพบตัวอย่างใหม่วันนี้ หลังจากเครื่องติดไวรัส ร้องไห้ออกจดหมายเรียกค่าไถ่ " recovery_ [ random_chars ] . html " และ " recovery_ [ random_chars ] txtencrypts " บนเดสก์ทอปของเหยื่อแจ้งพวกเขา ไฟล์ของพวกเขาจะถูกเข้ารหัสด้วยการ " ร้องไห้ " ส่วนขยาย ( ดังนั้นชื่อ บันทึกความต้องการสำหรับ bitcoin , หรือประมาณ $ 625 ที่จะถอดรหัสมัน จากที่นั่น มันใช้ UDP โปรโตคอล เพื่อถ่ายทอดข้อมูลเกี่ยวกับเครื่องที่ติดเชื้อ รวมทั้งรุ่น Windows ของประเภทบิตของ Windows ซึ่งเซอร์วิสแพ็คติดตั้ง ชื่อของคอมพิวเตอร์ ซีพียูชนิดกว่า 4000 IP แอดเดรส ตามที่เอบรัมส์ วิธีนี้อาจใช้เพื่อทำให้ trickier สำหรับเจ้าหน้าที่นิ้วสั่งการ และควบคุมเซิร์ฟเวอร์ที่ตั้ง เทคนิคที่ถูกใช้ในอดีตโดยเซอร์เบอร์ ransomware สายพันธุ์ นักวิจัยที่ invincea เห็นเซอร์เบอร์ตัวแปรอาจสร้างโหลดของการจราจร UDP ขาออกไปยังจุดที่ถูกน้ำท่วมกับแพ็กเก็ตผ่านพอร์ต UDP subnets 6892 . ผู้เชี่ยวชาญที่ไม่ได้ออกกฎความเป็นไปได้ที่ ransomware จะสามารถดําเนินการกระจายการปฏิเสธการบริการโจมตี นอกจาก UDP , ร้องไห้ยังใช้บริการอื่น ๆสองไม่ค่อย leveraged ransomware : imgur และ Google แผนที่ ที่ ransomware เหมือนกันข้อมูลทั้งหมดส่งให้กับที่อยู่ IP และฝังไว้ในไฟล์ภาพ PNG และต่อมาภาพที่ imgur แกลอรี่รูปภาพ " เมื่อไฟล์ได้อัพโหลด imgur จะตอบสนองกับชื่อเฉพาะสำหรับชื่อแฟ้ม " Abrams เขียน . " ชื่อนี้ ( สามารถ ) จากนั้นจะออกอากาศผ่าน UDP ถึง 4096 ที่อยู่ ให้แจ้งคำสั่งและการควบคุมเซิร์ฟเวอร์เหยื่อรายใหม่ได้รับการติดเชื้อ " ransomware ยังสามารถใช้ Google Maps API เพื่อตรวจสอบการตั้งค่าบริการ " ระบุ ( SSID ) ของแพ็กเก็ตที่ส่งโดยทุกเครือข่ายไร้สายในบริเวณใกล้เคียง โดยใช้ Windows " wlangetnetworkbsslist ฟังก์ชัน ร้องสามารถรับรายการของเครือข่ายไร้สายและ SSIDs . หลังจากการสอบถามใด ๆ SSIDs มองเห็นเครื่องที่ติดเชื้อจะสามารถใช้ Google แผนที่เพื่อให้ได้เหยื่อสถานที่ ในขณะที่ข้อมูลที่ตั้งข้อสงสัยที่มีคุณค่า , Abrams อ้างว่ามันจะไม่ชัดเจนว่าสิ่งที่มันเป็น แต่ยอมรับว่ามันอาจจะใช้ต่อไปกลัวเหยื่อจ่าย งั้นบอกเธรดโพสต์ว่า ในขณะที่ไม่พบจนกระทั่งกันยายน 1 , ดูเหมือนว่านักพัฒนาที่อยู่เบื้องหลังร้องก่อนเริ่มการทดสอบน้ำหลายวันก่อน ในวันที่ 25 ส.ค. กัลลาเกอร์ และ malwarehunterteam Abrams , เห็นนักพัฒนาเริ่มทดสอบอัพโหลดไฟล์ PNG ในเวลาที่มีเพียงสาย " lolwtfamidoinghere . " ในขณะที่การรักษาความปลอดภัยองค์กรกลาง ไม่มีตัวตน ไม่มีทั้งกรม หรือหน่วยงานของรัฐก่อนการพิจารณายุติการสอบสวน อีกสองกลุ่มที่ปลอม ransomware touts ตัวเองเป็นตัวแทนในเว็บไซต์ของ การชําระเงิน ท. ตราประทับสำหรับองค์กรปลอมจะปรากฏขึ้นเพื่อกู้ยอด กิ่งดาวจากโลโก้ของ FBI และ CIA เป็นหัวนกอินทรีย์จากโลโก้ดูเพิ่มเติมที่ : ร้องไห้ ransomware ใช้ UDP , imgur , Google Maps https://wp.me/p3ajux-vjf