Elfelejtett zsarolni a Bleagle zsaroló program

A Bleagle trójai a zsaroló programoktól lesett el néhány romboló módszert, de váltásdíjat egyelőre nem követel.
 

A zsaroló programok legfontosabb jellemzője, hogy a számítógépek, mobil készülékek zárolását vagy fájlok titkosítását követően váltságdíjat követelnek a pórul járt felhasználótól. A Bleagle trójai azonban valamilyen rejtélyes oknál fogva másképp működik, pedig minden jel arra utal, hogy a fejlesztésekor még ransomware programnak indult.
 
A Bleagle kezdetben mindent úgy tesz, ahogy a zsaroló programok is. Egy hosszas kiterjesztéslista alapján felkutatja a számára érdekes állományokat, amelyeket erős titkosító algoritmusokkal lekódol, vagyis használhatatlanná tesz. Ezt követően módosítja a kompromittált állományok kiterjesztését, és megjelenít egy ablakot. Azonban ebben csak annyi áll, hogy a számítógépet meghackelték. Semmiféle zsarolás vagy éppen helyreállítási lehetőség nem szerepel az elkövetők üzenetében. Ennél fogva ilyen esetekben valóban csak a biztonsági mentésekből történő helyreállításra lehet alapozni.
 
Amikor a Bleagle trójai elindul, akkor az alábbi műveleteket hajtja végre:
 
1. A regisztrációs adatbázishoz hozzáadja a következő értékeket:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Adobe" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Default" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"DefinatelyNotMalware" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Microsoft Word" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Microsoft" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Validation" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"Validator" = "[a kártékony program elérési útvonala]"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\"WindowsLogon" = "[a kártékony program elérési útvonala]"
 
2. Egy kiterjesztéslista alapján fájlokat kutat fel.
 
3. A feltárt állományokat titkosítja.
 
4. A kompromittált állományokhoz a .Saher Blue Eagle kiterjesztést fűzi hozzá.
 
5. Megjelenít egy ablakot.