WannaSmile Ransomware

WannaSmile Ransomware est un cheval de Troie de type encodeur de fichiers qui a émergé le 16 novembre 2017. WannaSmile Ransomware n'est pas un projet original et des échantillons de la menace ont révélé qu'il est basé sur un cheval de Troie que nous avons identifié dans le passé. Les experts en cybersécurité ont noté que WannaSmile Ransomware est basé sur Zcrypt Ransomware qui a été repéré pour la première fois en juin 2016. Il semble que les créateurs originaux de Zcrypt ont été occupés à améliorer leur produit et à changer leur réseau de distribution. WannaSmile Ransomware est destiné aux utilisateurs de PC sur la péninsule arabique, il a été signalé que ses créateurs utilisent plusieurs comptes de messagerie pour envoyer des vagues de messages de spam aux victimes potentielles.

La menace est enregistrée pour s'exécuter en tant que 'WannaSmile.exe' sur les ordinateurs infectés et communiquée avec des sites compromis qui sont utilisés pour cacher l'identité des personnes contrôlant le cheval de Troie. WannaSmile Ransomware est connu pour encoder des images, présentations, texte, feuilles de calcul, audio, livres électroniques, vidéos et bases de données sur les systèmes compromis. Les données encodées sont faciles à reconnaître parce que WannaSmile Ransomware ajoute l'extension '.WSmile' aux noms de fichiers. Par exemple, 'Kizhi Island.jpeg' est renommé 'Kizhi Island.jpeg.WSmile' et l'arrière-plan du bureau est remplacé par un écran noir contenant un texte écrit en persan. Le message du bureau peut également être trouvé dans un fichier nommé 'How to decrypt files.html'. Les deux notifications de rançon comportent un texte identique qui lit (traduit du persan):

'AVERTISSEMENT!
Votre système est infecté par le virus WannaSmile Ransomware, tous vos fichiers importants, y compris les bases de données et les copies de sauvegarde, sont cryptés avec des algorithmes de cryptage complexes, vous ne pourrez donc pas accéder aux fichiers, seulement nous pouvons les déchiffrer.
Dans le cas où nous ne recevrions pas de frais pour notre porte-monnaie bitcoin un maximum de 5 jours après l'infection, alors 1 bitcoin sera ajouté quotidiennement au montant d'origine (20 bitcoins).
Vous devez payer un montant de 20 bitcoins pour déchiffrer vos fichiers à l'adresse suivante:
[CARACTERES ALEATOIRES]
Après avoir payé, n'oubliez pas de nous envoyer un e-mail à wannasmile@tuta.io afin que nous puissions vous envoyer un fichier à partir duquel vous pourrez restaurer tous les fichiers et les systèmes infectés dans leur état d'origine.
Vous pouvez acheter des bitcoins sur l'un des échangeurs de devises suivants:
[liens vers les marchés Bitcoin]'

Les opérateurs de WannaSmile Ransomware utilisent le compte de messagerie 'wannasmile@tuta.io' pour contacter les utilisateurs qui souhaitent effectuer un paiement à l'adresse de leur portefeuille. Heureusement, nous n'avons trouvé aucune transaction entrante dans le portefeuille utilisé par les cybercriminels. Il est recommandé de rester calme et d'utiliser un programme antivirus fiable pour supprimer WannaSmile Ransomware. Les escrocs sont connus pour demander un paiement de 20 Bitcoins qui est ≈163579 USD/138768 EUR, ce qui est une somme d'argent absolument ahurissante. Les produits AV reconnaissent les objets et les clés de registre créés par WannaSmile Ransomware comme:

• Artemis!E99CABC8FD75
• Gen:Heur.ZCrypt.1
• Malware/Gen.Generic.C1454393
• Ransom_WANNASMILE.A
• Trojan[Ransom]/Win32.AGeneric
• Win.Trojan.Agent-6377353-0
• Win32/Trojan.c25
• malicious_confidence_70% (W)