Filecoder.D Ransomware
Wertungsliste der Bedrohung
EnigmaSoft Bedrohungs-Scorecard
EnigmaSoft Threat Scorecards sind Bewertungsberichte für verschiedene Malware-Bedrohungen, die von unserem Forschungsteam gesammelt und analysiert wurden. EnigmaSoft Threat Scorecards bewerten und stufen Bedrohungen anhand verschiedener Metriken ein, darunter reale und potenzielle Risikofaktoren, Trends, Häufigkeit, Prävalenz und Persistenz. EnigmaSoft Threat Scorecards werden regelmäßig auf der Grundlage unserer Forschungsdaten und -metriken aktualisiert und sind für eine Vielzahl von Computerbenutzern nützlich, von Endbenutzern, die nach Lösungen suchen, um Malware von ihren Systemen zu entfernen, bis hin zu Sicherheitsexperten, die Bedrohungen analysieren.
EnigmaSoft Threat Scorecards zeigen eine Vielzahl nützlicher Informationen an, darunter:
Popularitätsrang: Die Rangfolge einer bestimmten Bedrohung in der Bedrohungsdatenbank von EnigmaSoft.
Schweregrad: Der ermittelte Schweregrad eines Objekts, numerisch dargestellt, basierend auf unserem Risikomodellierungsprozess und unserer Forschung, wie in unseren Kriterien zur Bedrohungsbewertung erläutert.
Infizierte Computer: Die Anzahl der bestätigten und vermuteten Fälle einer bestimmten Bedrohung, die auf infizierten Computern entdeckt wurden, wie von SpyHunter gemeldet.
Siehe auch Kriterien für die Bedrohungsbewertung .
| Bedrohungsstufe: | 100 % (Hoch) |
| Infizierte Computer: | 84 |
| Zum ersten Mal gesehen: | January 24, 2013 |
| Zuletzt gesehen: | October 19, 2026 |
| Betroffene Betriebssysteme: | Windows |
Filecoder.D Ransomware ist eine gefährliche Dateiverschlüsselungs-Ransomware, die Windows-Computer ins Visier nimmt und die Opfer von ihren Dokumenten, Fotos und anderen persönlichen Dateien aussperrt, bis ein Lösegeld gezahlt wird. Diese Malware, die als äußerst gefährlich eingestuft ist, wird seit langem beobachtet – von Anfang 2013 bis in jüngster Zeit – und stellt somit weiterhin eine aktive Bedrohung dar, die von Sicherheitsforschern genau beobachtet wird.
Inhaltsverzeichnis
Was die Filecoder.D-Ransomware bewirkt
Sobald Filecoder.D auf einem System aktiv ist, durchsucht es lokale Laufwerke nach wertvollen Dateitypen wie Dokumenten, Bildern, PDFs und Microsoft Office-Dateien und verschlüsselt diese mithilfe starker kryptografischer Verfahren. Dadurch sind die Daten ohne einen speziellen Entschlüsselungsschlüssel der Angreifer unlesbar. Die Schadsoftware nutzt hierfür die Windows-Verschlüsselungsbibliotheken, was die manuelle Wiederherstellung von Dateien ohne Datensicherung extrem schwierig oder unmöglich macht.
Ein besonders zerstörerisches Verhalten dieser Bedrohung ist der Versuch, Volumeschattenkopien zu löschen – eine in Windows integrierte Funktion, mit der Benutzer frühere Dateiversionen wiederherstellen können. Durch das Ausführen von Befehlen zum Löschen der Schattenkopien und das Deaktivieren zugehöriger Systemdienste verhindert die Ransomware, dass Opfer die nativen Windows-Tools zur Wiederherstellung verschlüsselter Daten nutzen können. Dadurch erhöht sich der Druck, das geforderte Lösegeld zu zahlen. Die Ransomware kann auch versuchen, mit Systemdiensten und -prozessen zu interagieren, um Sicherheitstools zu deaktivieren oder mit erhöhten Berechtigungen ausgeführt zu werden. Dabei wurde beobachtet, dass sie während ihrer Ausführung Skriptkomponenten wie PowerShell verwendet – eine Taktik, die bei modernen Ransomware-Familien üblich ist, um sich in den legitimen Systembetrieb einzufügen.
Wie es sich ausbreitet
Wie die meisten Ransomware-Programme nutzt Filecoder.D typischerweise irreführende Verbreitungsmethoden anstelle eines einzigen festen Übertragungskanals. Häufige Infektionswege für diese Bedrohungskategorie sind schädliche E-Mail-Anhänge, die als Rechnungen oder Dokumente getarnt sind, infizierte Links in Spam-Nachrichten, Exploit-Kits, die ungepatchte Software-Schwachstellen ausnutzen, gebündelte Downloads von unseriösen Websites sowie Raubkopien oder gecrackte Anwendungen. Benutzer können die Infektion unwissentlich auslösen, indem sie eine schädliche Datei öffnen oder Makros in einem kompromittierten Dokument aktivieren.
Risiken für Nutzer
Die Folgen einer Filecoder.D-Infektion können gravierend sein. Betroffene verlieren möglicherweise dauerhaft den Zugriff auf unersetzliche Dateien, darunter Familienfotos, Finanzunterlagen und Arbeitsdokumente, insbesondere wenn keine Datensicherung vorhanden ist. Neben dem Datenverlust bietet die Zahlung des Lösegelds keine Garantie dafür, dass die Angreifer einen funktionierenden Entschlüsselungsschlüssel bereitstellen; sie finanziert lediglich weitere kriminelle Aktivitäten. Infizierte Systeme können zudem Leistungseinbußen, deaktivierte Sicherheitsfunktionen und ein erhöhtes Risiko für weitere Schadsoftware aufweisen.
Anzeichen einer Infektion
Nutzer sollten auf Dateien achten, die plötzlich nicht mehr zugänglich sind oder ungewöhnliche Dateiendungen aufweisen, auf Lösegeldforderungen auf dem Desktop oder in Ordnern, auf eine spürbare Verlangsamung der Systemleistung, auf unerwartete Pop-ups mit Zahlungsaufforderungen sowie auf fehlende Schattenkopien oder Wiederherstellungspunkte von Backups. Auch ungewöhnliche Aktivitäten von Systemdiensten oder Skripten, die ohne erkennbaren Grund ausgeführt werden, können Warnsignale sein.
Wie Sie sich schützen können
Um das Risiko von Ransomware-Infektionen zu minimieren, sollten Nutzer regelmäßig wichtige Dateien extern oder offline sichern, ihr Betriebssystem und alle Software mit den neuesten Sicherheitspatches aktualisieren, keine Anhänge oder Links aus unbekannten oder verdächtigen E-Mails öffnen und keine Raubkopien herunterladen. Die Verwendung einer zuverlässigen Sicherheitssoftware, die Aktivierung einer Firewall und der vorsichtige Umgang mit Makros in Office-Dokumenten sind ebenfalls unerlässlich. Regelmäßige Datensicherungen sind nach wie vor der sicherste Weg, sich nach einem Ransomware-Angriff ohne Lösegeldzahlung zu erholen.
Analysebericht
Allgemeine Information
| Nachname: | Filecoder.D Ransomware |
|---|---|
| Signaturstatus: | No Signature |
Bekannte Proben
Bekannte Proben
Dieser Abschnitt listet weitere Dateibeispiele auf, von denen angenommen wird, dass sie mit dieser Familie in Verbindung stehen.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Dateigröße:
678.91 KB, 678912 Bytes
|
Attribute der portablen Windows-Ausführungsdatei
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mehr anzeigen
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Dateieigenschaften
- HighEntropy
- No Version Info
- x86
Blockinformationen
Blockinformationen
Während der Analyse zerlegt EnigmaSoft Dateiproben in logische Blöcke zur Klassifizierung und zum Vergleich mit anderen Proben. Anhand dieser Blöcke lassen sich Regeln zur Malware-Erkennung generieren und Dateiproben basierend auf gemeinsamem Quellcode, Funktionalität und anderen charakteristischen Merkmalen in Familien einteilen. Dieser Abschnitt enthält eine Zusammenfassung dieser Blockdaten sowie deren Klassifizierung durch EnigmaSoft. Sofern verfügbar, wird auch eine visuelle Darstellung der Blockdaten angezeigt.| Gesamtanzahl der Blöcke: | 2,658 |
|---|---|
| Potenziell schädliche Blöcke: | 109 |
| Zugelassene Blocker: | 2,549 |
| Unbekannte Blöcke: | 0 |
Visuelle Karte
? – Unbekannter Block
x – Potenziell schädliche Sperre
Geänderte Dateien
Geänderte Dateien
Dieser Abschnitt listet Dateien auf, die von Malware-Proben dieser Familie erstellt, geändert, verschoben und/oder gelöscht wurden. Die Aktivitäten im Dateisystem können wertvolle Einblicke in die Funktionsweise von Malware auf dem Betriebssystem liefern.| Datei | Attribute |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Änderungen der Registrierung
Änderungen der Registrierung
Dieser Abschnitt listet Registrierungsschlüssel und -werte auf, die von Malware-Arten dieser Familie erstellt, geändert und/oder gelöscht wurden. Die Aktivitäten in der Windows-Registrierung können wertvolle Einblicke in die Funktionsweise von Malware liefern. Darüber hinaus erstellt Malware häufig Registrierungswerte, um sich nach einer erfolgreichen Infektion des Systems automatisch zu starten und dauerhaft im System zu verbleiben.| Schlüssel::Wert | Daten | API-Name |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Windows-API-Nutzung
Windows-API-Nutzung
Dieser Abschnitt listet die von den Beispielen dieser Familie verwendeten Windows-API-Aufrufe auf. Die Analyse der Windows-API-Nutzung ist ein wertvolles Werkzeug zur Erkennung schädlicher Aktivitäten wie Keylogging, Rechteausweitung, Datenverschlüsselung, Datenexfiltration, Manipulation von Antivirensoftware und Netzwerkmanipulation.| Kategorie | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Mehr anzeigen
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Shell-Befehlsausführung
Shell-Befehlsausführung
Dieser Abschnitt listet die Windows-Shell-Befehle auf, die von den in dieser Familie enthaltenen Malware-Beispielen ausgeführt werden. Windows-Shell-Befehle werden häufig von Malware für schädliche Zwecke missbraucht und können verwendet werden, um Sicherheitsberechtigungen zu erweitern, andere Malware herunterzuladen und auszuführen, Sicherheitslücken auszunutzen, Daten zu sammeln und zu exfiltrieren sowie schädliche Aktivitäten zu verschleiern.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Mehr anzeigen
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
