’s-Hertogenbosch, 6 juni 2008 -
Kaspersky Lab, het internationale softwarebedrijf dat bescherming biedt tegen internetdreigingen, waarschuwt consumenten voor een nieuwe variant Gpcode namelijk Virus.Win32.Gpcode.ak., een gevaarlijk zogenaamd encryptie-virus.
Virus.Win32.Gpcode.ak Gpcode.ak versleutelt bestanden met verschillende extensies (bestanden als .doc, .txt, .pdf, .xls, .jpg, .png, .cpp, .h) door het gebruik van een RSA-encryptie-algoritme met een 1024-bits sleutel. De schrijver van Gpcode heeft er twee jaar over gedaan om het virus te verbeteren. De voorgaande fouten zijn gecorrigeerd en de sleutel is verlengd tot 1024-bits in plaats van 660-bits.
Nadat Gpcode.ak bestanden heeft versleuteld op de computer van het slachtoffer, verandert het de extensie van deze bestanden naar ._CRYPT en plaatst een tekstbestand genaamd !_READ_ME!.txt in dezelfde map. In het tekstbestand vertelt de cybercrimineel het slachtoffer dat de bestanden versleuteld zijn en biedt deze tegen betaling een decryptor (ontsleutel-bestand) aan:
«Your files are encrypted with RSA-1024 algorithm.
To recovery your files you need to buy our decryptor.
To buy decrypting tool contact us at:
********@yahoo.com»
Naast het versleutelen van bestanden wordt ook het bericht hieronder weergegeven:
“Dit is de laatste van een serie van zeer gevaarlijke blackmailer-virussen van deze auteur. Ik adviseer iedereen om op zijn hoede te zijn en zo snel mogelijk te controleren of je anti-virus scanner up-to-date is en op maximale bescherming staat. Naast een volledige en optimale internetprotectie is het uitermate belangrijk om in dit geval ook een goede back-up bij de hand te hebben. Decryptie is in dit geval niet zo maar mogelijk.” Aldus Eddy Willems, Virus Evangelist bij Kaspersky Lab Benelux B.V. “Daarbij wil ik slachtoffers benadrukken geen contact op te nemen met de blackmailer.”
Private Key
Op 4 juni 2008 voegde Kaspersky een signature toe tegen het virus Win32.Gpcode.ak. Virusanalisten van Kaspersky zijn er al eerder in geslaagd om vroegere varianten van Gpcode te ontmantelen doordat het hen gelukt was de Private Key te kraken. De virusonderzoekers zijn tot nu toe in staat geweest om sleutels tot 660bits te ontmantelen. Dit was het resultaat van gedetailleerde analyse van de RSA algoritme-uitvoering. Naar schatting kost het 1 PC met 2.2 Ghz, als het algoritme goed is uitgevoerd, maar liefst 30 jaar om een 660-bit sleutel te kraken.
Tijdens het schrijven van het virus was het niet mogelijk om de bestanden te ontsleutelen doordat de sleutel 1024-bits lang was en er geen fouten in de uitvoering gevonden werden. De versleutelde bestanden konden alleen ontmanteld worden door het hebben van de Private Key die alleen de schrijver bezit. De analisten van Kaspersky continueren het analyseren van de viruscode om erachter te komen hoe decryptie van de versleutelde bestanden mogelijk is zonder de Private Key.
Wat te doen na infectie In geval van infectie raadt Kaspersky slachtoffers aan contact op te nemen door gebruik te maken van een andere computer. Start de geïnfecteerde computer niet opnieuw en sluit hem niet af!
Slachtoffers kunnen contact opnemen door te mailen naar
stopgpcode@kaspersky.com. Hierbij is het van belang dat men de exacte datum en tijd van de infectie vermeldt, evenals alle handelingen die men verrichtte in de vijf minuten voordat de computer geïnfecteerd is zoals welke programma’s men gebruikte en welke websites bezocht werden.
Kaspersky Lab zal slachtoffers proberen te helpen met het herstellen van de bestanden die versleuteld zijn.
Over Kaspersky Lab Kaspersky Lab, opgericht in 1997, is een internationaal softwarebedrijf dat oplossingen aanbiedt voor het beschermen van thuis- en bedrijfsnetwerken tegen virussen, spyware, spam en hackers. Het hoofdkantoor van het bedrijf is gevestigd in Moskou en daarnaast heeft het bedrijf wereldwijd regionale kantoren. Voor meer informatie kunt u terecht op
www.kaspersky.nl, of ga naar
www.viruslist.com voor de meest recente informatie over anti-virus, anti-spyware, anti-spam en andere IT-beveiligingszaken.
Noot voor de redactie Perscontact Kaspersky Lab Benelux b.v.
Pauline van Zantvliet
Hambakenwetering 10
5231 DC ’s-Hertogenbosch
Tel: +31 (0)73 6154852
Fax: +31 (0)73 6154869
Email:
marketing@Kaspersky.nl