Curumim Ransomware

Curumim Ransomware est un cheval de Troie de type encodeur de données qui a été signalé par des analystes de logiciels malveillants le 4 novembre 2017. La menace semble être une version personnalisée de la plateforme HiddenTear Ransomware. Les auteurs de la menace ont utilisé le code HiddenTear pour créer des encodeurs de fichiers militarisés destinés aux utilisateurs parlant le portugais. Les rapports d'utilisateurs du Brésil suggèrent que Curumim Ransomware peut être le produit d'une campagne localisée similaire aux cas de LordOfShadow Ransomware et d'Onion3Cry Ransomware. Curumim Ransomware utilise un code source ouvert pour crypter les données ciblées et suggère à l'utilisateur d'écrire un courriel à 'lordashadow@gmail.com' et demander de l'aide pour la récupération de ses données.

Le cheval de Troie Curumim Ransomware est programmé pour transcoder les fichiers et ajouter le suffixe '.curumim' aux noms de fichiers. Par exemple, 'Kayabí tribe.pptx' est renommé 'Kayabí tribe.pptx.curumim'. L'extension ajoutée par le cheval de Troie semble traduire du portugais brésilien à l'anglais comme « jeune Indien ». Une image de bande dessinée d'un membre d'une tribu peut être trouvée sur le bureau des systèmes compromis. Curumim Ransomware est connu pour changer l'image d'arrière-plan de bureau à un écran noir avec un texte coloré en rouge au-dessus et le portrait d'un petit garçon avec des origines sud-américaines. Le fond d'écran est utilisé par la menace pour présenter aux utilisateurs compromis des informations pourquoi leurs données ne peuvent pas être lues et pourquoi elles possèdent le suffixe '.curumim'. Le message montré aux victimes se lit comme suit (traduit du portugais vers l'anglais):

'Vos fichiers sont cryptés!
Vous avez seulement 1 jour
Pour entrer en contact ou vos fichiers seront totalement perdus!
lordashadow@gmail.com'

Malheureusement, Curumim Ransomware utilise des mécanismes cryptographiques sécurisés, de sorte que le décryptage des données transcodées est presque impossible. Vous devriez garder un œil en ligne pour voir si le mot de passe de décryptage maître et le décrypteur approprié sont libérés par les auteurs des menaces. L'écriture sur le compte 'lordashadow@gmail.com' peut faire l'objet d'une demande de paiement de rançon, qui peut facilement dépasser 600 BR (réel brésilien), à en juger par les demandes de rançon faites par des chevaux de Troie similaires dans le monde des menaces brésiliennes. Il est conseillé aux utilisateurs de purger Curumim Ransomware à l'aide d'un scanner anti-malware crédible et de charger les copies de sauvegarde. Les entreprises antivirus sont connues pour signaler les fichiers et les clés de registre créés par Curumim Ransomware comme:

• MSIL:Filecoder-W [Trj]
• Ransom.HT/Variant
• Ransom.Ryzerlo.FC.1834
• Ransom_CRYPTEAR.SM0
• Ransomware-FTD!B5EC6C205C1E
• Trojan ( 700000121 )
• Trojan.Ransom.HiddenTear.H
• malicious_confidence_100% (W)