Из предыдущей новости мы узнали о распространении нового шифровальщика CoderWare и лично решили на него посмотреть

Спойлер : Этот крипто-вымогатель для Android-устройств шифрует данные пользователей с помощью алгоритма RC4.

На личном опыте мы узнали что за выкуп информации требуют сумму в $500 в BTC.

Вооружившись виртуалкой и андройд эмулятором мы окунулись в этот мир безудержного веселья. Через известный поисковик DuckDuckGo находим  .APK  на вэб сайте очень похожего на Google Play Store, (предполагаем что писать адрес не этично будет) с говорящим названием игры Cyberpunk2077.

Первым делом смотрим как его видят Антивирусы:

Kaspersky -> HEUR:Trojan-Ransom.AndroidOS.Agent.bs

DrWeb -> Android.Encoder.12

ESET-NOD32 -> Android/Filecoder.I
Symantec -> Trojan.Gen.2

Вот такой текст нас ждал после «Успешной установки» в файле README.txt

hey Down! Seems like you got hit by CoderWare !warning: take a screenshot of this place. If you lose the information here, you’ll never get to us. and it would be impossible to get your dosysDon’t Panic, you get have your files back!CoderWare uses a basic encryption script to lock your files.This type of  is known as CRYPTO.You’ll need a decryption key in order to unlock your files.Your files will be deleted when the timer runs out, so you better http://hurry.You have 10 hours to find your keyWhen you pay >>> 500$  <<< to the Bitcoin address below, you will need to send a single as proof to our e-mail address, and if the receipt is correct, your code to decrypt our files to your e-mail address. It will be sent back to you via e-mail.  But you have to be quick for that. Because you have 24 hours. If you do not pay within 10 hours, your files will be permanently deleted.And it would be out of reach again. If you don’t know how to get bitcoin. https://buy.moonpay.iocan quickly get your credit or debit card online from the website.Please type the bitcoin address shown on the screen in the wallet field on the website. If you try to shut it down by force, you’ll lose your files. because if you lose your bitcoin address,you won’t be able to pay. and you’ll never get your files back.If you delete the application, it will be impossible to access your files. email: alrescodercry@protonmail.combitcoin Adress : 336Fvf8fRrpySwq8gsaWdf7gfuGm5FQi8Ktelegram : @Codersan

Как итог, все файлы после шифрования приобрели расширение :  .coderCrypt

Единственная радость что для шифрования используется алгоритм RC4 который имеет вшитый открытый криптоключ и расшифровка не должна представлять боьшой проблемы.

Будьте аккуратны при установке игры.

от admin