Categories: SicherheitVirus

DetoxCrypto: Ransomware mit Pokémon-Motiven

Die neue Ransomware DetoxCrypto liegt in verschiedenen Varianten vor, von denen eine mit Pokémon-Motiven spielt und damit in die Falle zu locken versucht. Zuerst wurde sie vom MalwareHunterTeam entdeckt und lässt Befürchtungen aufkommen, dass ein neues Affiliate-Programm mit Ransomware-as-a-Service entsteht. „Die Ransomware scheint entweder zu einem Affiliate-System zu gehören oder im Dark Web verkauft zu werden, da wir verschiedene Varianten sehen mit unterschiedlichen Themes, E-Mail-Adressen und Features“, berichtet Lawrence Abrams, Gründer von BleepingComputer.

Die Verbreitungswege sind noch nicht bekannt, aber alle beobachteten Varianten kommen als eine einzelne ausführbare Datei für Windows-Computer. In dieser sind weitere ausführbare Programme und Dateien eingebettet. Extrahiert werden eine Datei namens MicrosoftHost.exe, eine Audiodatei, ein Bildschirmhintergrund und noch ein Tool, das je nach Variante der Ransomware eine andere Bezeichnung trägt.

MicrosoftHost.exe verschlüsselt alle Dateien auf dem Rechner des Opfers mit dem AES-Standard und stoppt Datenbankdienste wie MySQL und MSSQL. Das Programm blendet dann eine Lösegeldforderung ein, spielt eine Audiodatei ab und bietet ein Feld zur Eingabe des Dechiffrierschlüssels für die Dateien ein. Dieser ist wie üblich nur durch Bezahlung eines geforderten Betrags in Bitcoin an die Erpresser zu bekommen.

„Wir sind alle Pokémons“, wendet sich die Pokémon-Variante an die Opfer, als wollte sie sie verspotten oder belustigen. Sie kommt als ausführbare Datei namens Pokemongo.exe, zeigt einen Bildschirmhintergrund mit dem Pokémon Pikachu und extrahiert zahlreiche Dateien in den Ordner C:\Users\[Benutzername]\Downloads\Pokemon.

DetoxCrypto-Variante Calipso nimmt Bildschirmfotos auf

Eine andere Variante von DetoxCrypto ist Calipso.exe. Das Tool platziert seine extrahierten Dateien entsprechend in einem Ordner namens Calipso. Es ist weniger verspielt, fällt aber durch die Aufnahme eines Bildschirmfotos des Windows-Desktops gleich nach ihrer Installation auf. Dieses schickt es an die Malware-Entwickler, die sich davon vielleicht weiteres Erpressungspotential erhoffen.

Auf die Popularität des Mobilspiels Pokémon Go setzen Cyberkriminelle auch mit gefälschten Android-Apps. Schon kurz nach dem Start des Spiels zählten Sicherheitsforscher über 200 gefälschte Kopien. Viele von ihnen fordern umfangreiche Berechtigungen ein, um Nutzerdaten zu stehlen. Zudem melden sie ihre Opfer für Premium-SMS-Dienste an und versuchen, Klicks auf bestimmte Anzeigen zu generieren. Beobachtet wurden auch eine mit einem Trojaner infizierte Version sowie eine App, die Nutzer mit einem Pokémon-Go-Lockscreen aus ihren Geräten aussperrt.

ZDNet.de Redaktion

Recent Posts

Taugen Kryptowährungen als Unterstützer der Energiewende?

Bankhaus Metzler und Telekom-Tochter MMS testen, inwieweit Bitcoin-Miner das deutsche Stromnetz stabilisieren könnten.

14 Stunden ago

Supercomputer-Ranking: El Capitan überholt Frontier und Aurora

Mit 1,7 Exaflops ist El Capitan nun der dritte Exascale-Supercomputer weltweit. Deutschland stellt erneut den…

18 Stunden ago

Ionos führt neue AMD-Prozessoren ein

Der deutsche Hyperscaler erweitert sein Server-Portfolio um vier Angebote mit den neuen AMD EPYC 4004…

18 Stunden ago

Lags beim Online-Gaming? DSL-Vergleich und andere Tipps schaffen Abhilfe

Beim Online-Gaming kommt es nicht nur auf das eigene Können an. Auch die technischen Voraussetzungen…

19 Stunden ago

GenKI-Fortbildung immer noch Mangelware

Fast jedes zweite Unternehmen bietet keinerlei Schulungen an. In den übrigen Betrieben profitieren oft nur…

19 Stunden ago

Netzwerk-Portfolio für das KI-Zeitalter

Huawei stellt auf der Connect Europe 2024 in Paris mit Xinghe Intelligent Network eine erweiterte…

21 Stunden ago