Onderzoekers hebben nieuwe crypto-ransomware ontdekt die bestanden op computers tegen losgeld versleutelt. Om weer toegang tot de bestanden te krijgen moeten slachtoffers een bepaald bedrag betalen. Opmerkelijk aan Cryptoblocker, zoals de ransomware heet, is dat het een 100MB-limiet hanteert.

Bestanden groter dan 100MB worden namelijk niet versleuteld. Daarnaast laat Cryptoblocker geen tekstbestanden achter met instructies om de bestanden te ontsleutelen, maar toont het een dialoogvenster waarin staat dat slachtoffers 1 Bitcoin moeten betalen. Met de huidige wisselkoers komt dat overeen met 429 euro.

Encryptie

Een andere opvallende eigenschap aan Cryptoblocker is de encryptieroutine. De ransomware gebruikt namelijk geen CryptoAPI's zoals andere ransomware wel doet. CryptoAPI's worden gebruikt om RSA-sleutels te genereren, waarmee de bestanden vervolgens worden versleuteld. Cryptoblocker gebruikt echter AES (advanced encryption standard)-encryptie om bestanden te versleutelen. Opmerkelijk, aldus anti-virusbedrijf Trend Micro. Het gebruik van RSA-sleutels maakt het namelijk lastiger om de bestanden te ontsleutelen.

Verder is opvallend dat de 'compiler notities' nog steeds aanwezig zijn bij het uitpakken van de code. "Dit is zeer interessant, aangezien compiler notities meestal worden verwijderd, omdat deze informatie door beveiligingsonderzoekers gebruikt kan worden om de malware-bestanden te detecteren en te blokkeren", zegt ingenieur Eduardo Altares. Hij merkt op dat de auteur van Cryptoblocker mogelijk een beginner is als het gaat om ransomware.

Hoe Cryptoblocker zich precies verspreidt laat Trend Micro niet weten. Ook het aantal slachtoffers blijft onbekend. Wel blijkt uit de statistieken dat de meeste infecties zich in de Verenigde Staten bevinden, gevolgd door Frankrijk en Japan.