cria o usuario "WormAcademic" SetPassword => W0rm@c@d3mic seta a senha "W0rm@c@d3mic" para a acao anterior administrators => administradores adiciona ao grupo de administradores Conclusoes sobre WormAcademic.exe:Esta amostra faz alteracoes mais profundas e prova quevulnerabilidades nao sao apenas exploradas. Tambem podem ser criadas e usadassucessivamente para quaisquer fins que se deseja. No caso desta, e resetada asenha do usuario, cria uma janela de entrada sem necessidade de logar-se no sistema, desabilita o firewall, ecria um novo usuario com login e senha. As possibilidades para estas acoes saoinumeras. Um atacante com bonsconhecimentos de linguagens de programacao e do sistema que deseja atacar poderiausar seus conhecimentos para extrair quaisquer dados reservados e usa-los parao fim que desejasse.Conclusoes sobre 1002.exe:Essa amostra foi retirada de um grupo bastante extenso deamostras a partir de pesquisas feitas inicialmente no site https://zeltser.com/malware-sample-sources/e escolhido devido a sua natureza recente.Este malware (1002.exe) e uma das muitas variacoes do tipoconhecido como CryptoLocker, que vem a ser a captura e encriptacao de arquivosdo usuario e exigir o pagamento de um resgate em troca da senha paradesbloquea-los. Normalmente o malware e elaborado de modo a dar um prazo de72 horas para o pagamento de 1 bitcoin (aproximadamente 300 dolares ), docontrario ameaca destruir as chaves requeridas para a desencriptacao. Se a vitima nao pagar o resgate dentro do prazoestabelecido, o malware exibira um arquivo "last_chance.txt"ordenando que vitima que baixe o malwarede novo, o que supostamente dara mais 3 dias de prazo para o pagamento doresgate. Na realidade o PClock nao destroi nada, portanto a contagem regressivanao significa nada.As informacoes a respeito da chave de encriptacao usadaneste malware sao conflitantes. Alguns sites de seguranca dizem que algumasversoes usam algioritmos de chave forte, (RSA 2048 bits) [https://en.wikipedia.org/wiki/CryptoLocker].Outros informam que o algoritmo nao e tao sofisticado e nao e dificildesencriptar os arquivos [http://blog.emsisoft.com/2015/01/04/newransomware-alert-cryptolocker-copycat-pclock-discovered/].E ate existem sites que ajudam vitimas deste malware a desbloquear os arquivos.[http://www.baboo.com.br/seguranca/ferramenta-dedesbloqueio-para-vitimas-do-malware-cryptolocker/].De qualquer forma, a analise feita no framework CuckooSandBox de um amostra de PCLocker gerou um vasto relatorio rico em detalhes.Vamos a eles:1 A analise de Strings possibilitou ver que o propriomalware monta e renderiza a tela de ameaca.[Figura 8]Figura 82 Algumas versoes do malware armazenavam a chave de desbloquear os arquivosinfectados noproprio sistema. Desta forma, uma das maneiras de recuperar osarquivos era ligar o HD da maquina como Slave em outra e procurar pela chave noproprio HD. Com o tempo, as variacoes do malware passaram a armazenar a chavena memoria alta do computador, enviar para um local seguro e fazer enviar umcomando de limpeza da memoria para apagar quaisquer registros das operacoes.Neste exemplo, todos os dados obtidos foram analisados, masate o momento nao foi encontrado nenhuma informacao que comprove oarmazenamento de senha ou chave dedesbloqueio.3 Oarquivo de dump da memoria possui bons dados que podem ser uteis, mas a leituraeproblematica devido ao grande numero de linhas com informacoes truncadas.4 Alguns elementos da analise firacam obscuros. A justificativa e de que naohaviam os tipicosarquivos de trabalho na maquina (planilhas, docs, pdf, PPT eetc.) que pudessem ser explorados pela ameaca. Mesmo assim, o malware fez suaparte, procurou e atacou bibliotecas DLL entre outros arquivos de