Die neue Ransomware DetoxCrypto liegt in verschiedenen Varianten vor, von denen eine mit Pokémon-Motiven spielt und damit in die Falle zu locken versucht. Zuerst wurde sie vom MalwareHunterTeam entdeckt und lässt Befürchtungen aufkommen, dass ein neues Affiliate-Programm mit Ransomware-as-a-Service entsteht. „Die Ransomware scheint entweder zu einem Affiliate-System zu gehören oder im Dark Web verkauft zu werden, da wir verschiedene Varianten sehen mit unterschiedlichen Themes, E-Mail-Adressen und Features“, berichtet Lawrence Abrams, Gründer von BleepingComputer.
Die Verbreitungswege sind noch nicht bekannt, aber alle beobachteten Varianten kommen als eine einzelne ausführbare Datei für Windows-Computer. In dieser sind weitere ausführbare Programme und Dateien eingebettet. Extrahiert werden eine Datei namens MicrosoftHost.exe, eine Audiodatei, ein Bildschirmhintergrund und noch ein Tool, das je nach Variante der Ransomware eine andere Bezeichnung trägt.
MicrosoftHost.exe verschlüsselt alle Dateien auf dem Rechner des Opfers mit dem AES-Standard und stoppt Datenbankdienste wie MySQL und MSSQL. Das Programm blendet dann eine Lösegeldforderung ein, spielt eine Audiodatei ab und bietet ein Feld zur Eingabe des Dechiffrierschlüssels für die Dateien ein. Dieser ist wie üblich nur durch Bezahlung eines geforderten Betrags in Bitcoin an die Erpresser zu bekommen.
„Wir sind alle Pokémons“, wendet sich die Pokémon-Variante an die Opfer, als wollte sie sie verspotten oder belustigen. Sie kommt als ausführbare Datei namens Pokemongo.exe, zeigt einen Bildschirmhintergrund mit dem Pokémon Pikachu und extrahiert zahlreiche Dateien in den Ordner C:\Users\[Benutzername]\Downloads\Pokemon.
DetoxCrypto-Variante Calipso nimmt Bildschirmfotos auf
Eine andere Variante von DetoxCrypto ist Calipso.exe. Das Tool platziert seine extrahierten Dateien entsprechend in einem Ordner namens Calipso. Es ist weniger verspielt, fällt aber durch die Aufnahme eines Bildschirmfotos des Windows-Desktops gleich nach ihrer Installation auf. Dieses schickt es an die Malware-Entwickler, die sich davon vielleicht weiteres Erpressungspotential erhoffen.
Auf die Popularität des Mobilspiels Pokémon Go setzen Cyberkriminelle auch mit gefälschten Android-Apps. Schon kurz nach dem Start des Spiels zählten Sicherheitsforscher über 200 gefälschte Kopien. Viele von ihnen fordern umfangreiche Berechtigungen ein, um Nutzerdaten zu stehlen. Zudem melden sie ihre Opfer für Premium-SMS-Dienste an und versuchen, Klicks auf bestimmte Anzeigen zu generieren. Beobachtet wurden auch eine mit einem Trojaner infizierte Version sowie eine App, die Nutzer mit einem Pokémon-Go-Lockscreen aus ihren Geräten aussperrt.