{"id":6524,"date":"2016-09-07T02:56:58","date_gmt":"2016-09-06T23:56:58","guid":{"rendered":"https:\/\/kasperskydaily.com\/brazil\/?p=6524"},"modified":"2019-11-22T07:31:02","modified_gmt":"2019-11-22T10:31:02","slug":"fantom-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/fantom-ransomware\/6524\/","title":{"rendered":"Ransomware Fantom finge ser atualiza\u00e7\u00e3o do Windows"},"content":{"rendered":"<p>De forma rotineira, recomendamos que voc\u00ea atualize seu sistema operacional regularmente. Vulnerabilidades n\u00e3o corrigidas s\u00e3o a porta de entrada para malwares. O ransomware <a href=\"http:\/\/www.bleepingcomputer.com\/news\/security\/fantom-ransomware-encrypts-your-files-while-pretending-to-be-windows-update\/\" target=\"_blank\" rel=\"noopener nofollow\">Fantom<\/a> explora exatamente as atualiza\u00e7\u00f5es.<\/p>\n<p>De um ponto de vista t\u00e9cnico, o Fantom \u00e9 quase ind\u00eantico a muitos outros ransomwares. \u00c9 baseado em um ransomware de c\u00f3digo livre EDA2, desenvolvido por Utku Sen como parte de um <a href=\"https:\/\/www.kaspersky.com.br\/blog\/ded-cryptor-ransomware\/6398\/\" target=\"_blank\" rel=\"noopener\">experimento fracassado<\/a>. Trata-se de um dos muitos cryptoblockers baseados no EDA-2, mas o Fantom vai muito al\u00e9m na hora de encobrir o rastro.<\/p>\n<p>N\u00e3o conhecemos os m\u00e9todos de distribui\u00e7\u00e3o do Fantom. Por\u00e9m, ao infiltrar em um computador, inicia a rotina comum de um ransomware: criar uma chave de criptografia, criptograf\u00e1-la, e armazen\u00e1-la em um servidor de comando e controle para uso futuro.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"pt\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Ransomware<\/a> ranscam n\u00e3o d\u00e1 a m\u00ednima se voc\u00ea paga o resgate ou n\u00e3o | <a href=\"https:\/\/t.co\/u4neSo1hc9\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/u4neSo1hc9<\/a> <a href=\"https:\/\/t.co\/UYcNliLyAU\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/UYcNliLyAU<\/a><\/p>\n<p>\u2014 Kaspersky Brasil (@Kasperskybrasil) <a href=\"https:\/\/twitter.com\/Kasperskybrasil\/status\/768055489594818560?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">August 23, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>O Trojan, ent\u00e3o, analisa o computador, em busca de arquivos dos tipos que \u00e9 capaz de bloquear (mais de 350, incluindo formatos comuns de documentos, \u00e1udios e imagens). A senha j\u00e1 mencionada \u00e9 utilizada para bloquear os arquivos que recebem a extens\u00e3o .fantom. Contudo, com todos esses processos sendo executados em segundo plano, a parte mais interessante ocorre bem na cara da v\u00edtima.<\/p>\n<p>Antes de chegarmos ao cerne da quest\u00e3o, \u00e9 preciso mencionar que o execut\u00e1vel desse ransomware se passa por uma atualiza\u00e7\u00e3o do Windows. \u00c9 a\u00ed que o malware come\u00e7a o trabalho sujo, executa n\u00e3o apenas um, mas dois programas: o pr\u00f3prio criptor e um programa de nome inocente, WindowsUpdate.exe.<\/p>\n<p>Esse segundo programa foi projetado para simular a tela de atualiza\u00e7\u00e3o do Windows (tela azul que informa que seu computador est\u00e1 sendo atualizado). Enquanto o Fantom criptografa os arquivos do usu\u00e1rio em segundo plano, a mensagem na tela mostra que a \u201catualiza\u00e7\u00e3o\u201d est\u00e1 em progresso.<\/p>\n<p><img decoding=\"async\" class=\"alignnone\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2016\/09\/06135601\/windows-update-screen.png\" width=\"1191\" height=\"674\"><\/p>\n<p>O golpe \u00e9 pensado para distrair a v\u00edtima da atividade suspeita em seus dispositivos. A atualiza\u00e7\u00e3o falsa ocorre em modo de tela cheia, o que bloqueia visualmente o acesso a outros programas.<\/p>\n<p>Um usu\u00e1rio desconfiado poderia minimizar a tela falsa com Ctrl+F4, mas isso n\u00e3o impedir\u00e1 o Fantom de criptografar arquivos.<\/p>\n<p>Uma vez que o processo de criptografia est\u00e1 executado, o Fantom elimina os ind\u00edcios (deleta os execut\u00e1veis), e cria um bilhete de resgate em html, deixa uma c\u00f3pia em cada pasta e substitui o papel de parede com um aviso. O criminoso ainda fornece um endere\u00e7o de e-mail por meio do qual a v\u00edtima pode entrar em contato, discutir os termos do pagamento e receber instru\u00e7\u00f5es adicionais.<\/p>\n<p>Fornecer informa\u00e7\u00f5es de contato \u00e9 t\u00edpico de hackers russos. Existem ainda outros ind\u00edcios que apontam para a origem russa dos criminosos: o endere\u00e7o de e-mail do Yandex.ru e o dom\u00ednio pobre da l\u00edngua inglesa. Especialistas do Bleeping Computer apontam que os erros gramaticais e ortogr\u00e1ficos s\u00e3o os \u201cpiores que j\u00e1 vimos em um bilhete de resgate at\u00e9 hoje\u201d.<\/p>\n<p><img decoding=\"async\" class=\"alignnone\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/94\/2016\/09\/06135601\/ransom-note-screen.png\" width=\"1015\" height=\"495\"><\/p>\n<p>A m\u00e1 not\u00edcia \u00e9 que at\u00e9 o momento n\u00e3o h\u00e1 como desbloquear os arquivos sem pagar o resgate, o que <a href=\"https:\/\/www.kaspersky.com.br\/blog\/why-you-dont-pay-ransomware\/6352\/\" target=\"_blank\" rel=\"noopener\">n\u00e3o recomendamos<\/a>. Assim, a melhor forma de lidar com a situa\u00e7\u00e3o \u00e9 n\u00e3o se tornar uma das v\u00edtimas. Aqui v\u00e3o algumas dicas:<\/p>\n<ul>\n<li>Fa\u00e7a backups de seus arquivos regularmente, mantenha uma c\u00f3pia em uma m\u00eddia externa desconectada. Ter esses backups significa que voc\u00ea ser\u00e1 capaz de restaurar seus arquivos mesmo que seu PC seja infectado. <a href=\"http:\/\/brazil.kaspersky.com\/produtos\/produtos-para-usuarios-domesticos\/total-security-multi-device\" target=\"_blank\" rel=\"noopener nofollow\">O Kaspersky Total Securtity<\/a> possui uma ferramenta que automatiza esse processo.<\/li>\n<li>Tenha cuidado: n\u00e3o abra e-mails suspeitos, fique fora de sites duvidosos, e n\u00e3o clique em propagandas question\u00e1veis. O Fantom, como qualquer outro ransomware, pode usar qualquer um desses vetores para se infiltrar no seu sistema.<\/li>\n<li>Use uma solu\u00e7\u00e3o de seguran\u00e7a robusta: como o <a href=\"http:\/\/brazil.kaspersky.com\/produtos\/produtos-para-usuarios-domesticos\/internet-security\" target=\"_blank\" rel=\"noopener nofollow\">Kaspersky Internet Security<\/a> j\u00e1 capaz de detectar o Fantom como Trojan-Ransom.MSIL.Tear.wbf ou PDM:Trojan.Win32.Generic. E mesmo que um ransomware ainda desconhecido passasse pelo antiv\u00edrus, a fun\u00e7\u00e3o do System Watcher, que monitora comportamentos suspeitos o bloquearia.<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>De forma rotineira, recomendamos que voc\u00ea atualize seu sistema operacional regularmente. Vulnerabilidades n\u00e3o corrigidas s\u00e3o a porta de entrada para malwares. O ransomware Fantom explora exatamente as atualiza\u00e7\u00f5es. De um<\/p>\n","protected":false},"author":61,"featured_media":6525,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1260,14],"tags":[1023,83],"class_list":{"0":"post-6524","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-fantom","10":"tag-ransomware"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/fantom-ransomware\/6524\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/fantom-ransomware\/7599\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/fantom-ransomware\/7622\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/fantom-ransomware\/7615\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/fantom-ransomware\/9024\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/fantom-ransomware\/8886\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/fantom-ransomware\/12939\/"},{"hreflang":"tr","url":"https:\/\/www.kaspersky.com.tr\/blog\/fantom-ransomware\/2400\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/fantom-ransomware\/12891\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/fantom-ransomware\/6045\/"},{"hreflang":"pl","url":"https:\/\/plblog.kaspersky.com\/fantom-ransomware\/5335\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/fantom-ransomware\/8578\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/fantom-ransomware\/12483\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/fantom-ransomware\/12939\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/fantom-ransomware\/12891\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/fantom-ransomware\/12891\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/fantom\/","name":"Fantom"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6524","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/61"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=6524"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6524\/revisions"}],"predecessor-version":[{"id":13144,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/6524\/revisions\/13144"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/6525"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=6524"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=6524"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=6524"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}