Die neue Ransomware DetoxCrypto liegt in verschiedenen Varianten vor, von denen eine mit Pokémon-Motiven spielt und damit in die Falle zu locken versucht. Zuerst wurde sie vom MalwareHunterTeam entdeckt und lässt Befürchtungen aufkommen, dass ein neues Affiliate-Programm mit Ransomware-as-a-Service entsteht.

Die Verbreitungswege sind noch nicht bekannt, aber alle beobachteten Varianten kommen als eine einzelne ausführbare Datei für Windows-Computer. In dieser sind weitere ausführbare Programme und Dateien eingebettet. Extrahiert werden eine Datei namens MicrosoftHost.exe, eine Audiodatei, ein Bildschirmhintergrund und noch ein Tool, das je nach Variante der Ransomware eine andere Bezeichnung trägt.

MicrosoftHost.exe verschlüsselt alle Dateien auf dem Rechner des Opfers mit dem AES-Standard und stoppt Datenbankdienste wie MySQL und MSSQL. Das Programm blendet dann eine Lösegeldforderung ein, spielt eine Audiodatei ab und bietet ein Feld zur Eingabe des Dechiffrierschlüssels für die Dateien ein. Dieser ist wie üblich nur durch Bezahlung eines geforderten Betrags in Bitcoin an die Erpresser zu bekommen.

„Wir sind alle Pokémons“, wendet sich die Pokémon-Variante an die Opfer, als wollte sie sie verspotten oder belustigen. Sie kommt als ausführbare Datei namens Pokemongo.exe, zeigt einen Bildschirmhintergrund mit dem Pokémon Pikachu und extrahiert zahlreiche Dateien in den Ordner C:\Users\[Benutzername]\Downloads\Pokemon.
DetoxCrypto-Variante Calipso nimmt Bildschirmfotos auf

Auf die Popularität des Mobilspiels Pokémon Go setzen Cyberkriminelle auch mit gefälschten Android-Apps. Schon kurz nach dem Start des Spiels zählten Sicherheitsforscher über 200 gefälschte Kopien. Viele von ihnen fordern umfangreiche Berechtigungen ein, um Nutzerdaten zu stehlen. Zudem melden sie ihre Opfer für Premium-SMS-Dienste an und versuchen, Klicks auf bestimmte Anzeigen zu generieren. Beobachtet wurden auch eine mit einem Trojaner infizierte Version sowie eine App, die Nutzer mit einem Pokémon-Go-Lockscreen aus ihren Geräten aussperrt.

(Quelle: ZDNet)

Schützen Sie sich und Ihre Umgebung mithilfe von Sophos Antivirus Advanced und Sophos UTM vor solchen infizierungen.