نسخه جدید باج‌افزار چطور عمل می‌کند؟

این نسخه جدید CryptoWall 3.0 نام‌گذاری شده ‌است که کاربران را به یک سایت برای پرداخت هزینه دریافت کلید رمزگذاری هدایت می‌کند و برای اینکه مخفی بمانند از دو مؤلفه شبکه Tor و دیگری I2P (پروژه اینترنت مخفی) استفاده می‌کند.

این بدافزار پیچیده فایل‌های درون سیستم فرد قربانی را با استفاده از یک متد رمزنگاری بسیار قوی رمز کرده و برای در اختیار قرار دادن کلید رمزنگاری (به منظور رمزگشایی فایل‌های رمزشده کاربران)، مبلغ 500 دلار آمریکا را از طریق واحد پول مجازی بیت‌کوین درخواست می‌کند.

بدین منظور وب‌سایت‌هایی در اختیار کاربران قرار داده می‌شود که در حقیقت درگاه‌های شبکه تور هستند. این سایت‌ها همان پروکسی سرورهایی هستند که کاربر قربانی را به سرور این بدافزار که فایل‌ها را رمزگشایی می‌کند، هدایت می‌کنند و مرورگر کاربران را به سرور اصلی متصل می‌کنند. به نظر می‌رسد در نسخه جدید از این باج‌افزار یک مؤلفه دیگر به منظور مخفیانه‌تر نمودن این پروسه استفاده شده است، بدین منظور از شبکه I2P استفاده شده است.

بر اساس اطلاعات سایت مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای - ماهر- بررسی این بدافزار نشان می‌دهد که در ابتدا ترافیک کاربران به یک سرویس مخفی Tor هدایت شده و در مرحله بعد به شبکه I2P متصل شده و اطلاعات سایت مورد نظر را بازیابی می‌کند.

این باج‌افزار هم‌چنین اشاره می‌کند که کاربران باید مرورگر Tor را بر سیستم‌عامل خود نصب کرده و از یک سرویس پنهان Tor استفاده کنند (در صورتی که درگاه سایت مورد نظر دیگر کار نمی‌کرد).

CryptoWall اولین بدافزاری نیست که از I2P استفاده می‌کند. در نوامبر 2013، محققین امنیتی اعلام کردند که یک تروجان آنلاین سرقت از بانک به نام i2Ninja در حال گسترش از طریق فروم‌ها است و این قابلیت را دارد تا با سرور C&C که در شبکه I2P میزبانی می‌گردد، ارتباط برقرار کند.

مشابه Tor، شبکه I2P نیز به کاربران این اجازه را می‌دهد تا یک سرویس پنهانی (مانند وب‌سایتی که تنها از طریق این شبکه قابل دسترسی است) را راه‌اندازی کنند. با استفاده از Tor این وب‌سایت‌ها از .onion استفاده می‌کردند که برای شبکه‌های I2P دامنه .i2p است.