Το CryptoFortress, είναι ένα νέο ransomware με δυνατότητες κρυπτογράφησης αρχείων. Μοιάζει με το TorrentLocker, αλλά ο εσωτερικός μηχανισμός του δείχνει μια διαφορετική δομή κακόβουλου λογισμικού.
Το μήνυμα που ζητάει τα λύτρα που εμφανίζεται στο θύμα όταν πια τα δεδομένα στον υπολογιστή έχουν κρυπτογραφηθεί όπως και στην περίπτωση του TorrentLocker, που όπως είχαμε αναφέρει έχει δανειστεί από το CryptoLocker. Ομοιότητες όμως βρέθηκαν και στην σελίδα πληρωμής.
Οι ερευνητές ασφαλείας αναφέρουν ότι οι προγραμματιστές του CryptoFortress πήραν τα πρότυπα HTML και τον κώδικα CSS από το TorrentLocker. Ωστόσο, τα κοινά σημεία δεν σταματούν σε αυτά, δεδομένου ότι ο κώδικας και το σύστημα κρυπτογράφησης που διατίθεται στο νέο ransomware, καθώς η μέθοδος διανομής, δεν είναι οι ίδιες.
Οι ερευνητές της ESET (το αναγνωρίζουν σαν Win32/Kryptik.DAPB) δημιούργησαν έναν κατάλογο με όλα τα κοινά σημεία που υπάρχουν στα malware κρυπτογράφησης που χρησιμοποιεί, και εκτός από τον αλγόριθμο κρυπτογράφησης (AES-256), η κρυπτογράφηση του AES κλειδιού (RSA-1024) και το γεγονός ότι η σελίδα πληρωμής είναι κρυμμένη στο ανώνυμο δίκτυο Tor, δεν έχουν και πολλά κοινά σημεία.
Το CryptoFortress διαδίδεται μέσω των exploit kits, και όχι από μηνύματα spam. Η θέση της σελίδας λύτρα βρίσκεται στον κώδικα του malware, και όχι στο κέντρο διοίκησης και έλεγχου (C&C).
Επιπλέον, η κρυπτογραφική βιβλιοθήκη που χρησιμοποιείται από το CryptoFortress είναι η CryptoAPI της Microsoft, ενώ το TorrentLocker χρησιμοποιεί την open-source LibTomCrypt.
Μια άλλη διαφορά έγκειται στο γεγονός ότι το νέο malware κρυπτογραφεί το πρώτο μισό του αρχείου ή μέχρι και 5MB και το ποσό των λύτρων που ζητάει είναι γύρω στα 500 δολάρια, που πρέπει να καταβληθούν σε Bitcoin.
Η πρώτη αναφορά για το CryptoFortress εμφανίστηκε στις αρχές του μήνα από τον ερευνητή κακόβουλου λογισμικού Kafeine, ο οποίος παρακολουθεί τις αλλαγές των exploit kits. Μια ένδειξη της λοίμωξης είναι ότι τα αρχεία χρησιμοποιούν σαν επέκταση τη “FRTRSS.”
Η ανάλυση από τους ερευνητές ασφάλειας της εταιρείας ασφαλείας Lexsi αποκάλυψε ότι το κλειδί AES που χρησιμοποιείται για την κρυπτογράφηση των δεδομένων στο σκληρό δίσκο ήταν αποθηκευμένο τοπικά στο αρχείο HTML (το αρχείο ονομάζεται “READ IF YOU WANT YOUR FILES BACK”), και προστατεύεται από ισχυρό public-key (RSA 1024).
Εκτός από τις τοπικές μονάδες, το ransomware χτυπάει επίσης αντιστοιχισμένες μονάδες δίσκων και κοινόχρηστα αρχεία δικτύου καταστρέφοντας ουσιαστικά ότι συναντήσει. Προτιμάει τα αντίγραφα ασφαλείας, προκειμένου να εμποδίσει την αποκατάσταση των αρχείων.
