HUNTER Ransomware krypterer systemindhold

Under vores undersøgelse af malware-prøver opdagede vi HUNTER, en variant af ransomware, der tilhører Phobos-familien. Denne malware krypterer filer, ændrer deres filnavne og præsenterer to løsesumsedler mærket "info.txt" og "info.hta." Ydermere tilføjer HUNTER ransomware offerets ID, en e-mailadresse og ".HUNTER"-udvidelsen til filnavne.

For eksempel omdanner den "1.jpg" til "1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER," og "2.png" til "2.png.id[ 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER," og så videre. Løsesedlen fortæller offeret om krypteringen af deres filer på grund af et sikkerhedsproblem på deres pc. Det giver en e-mail-adresse (hunter-x@tuta.io) til kommunikation med angriberne og rådgiver, herunder et specifikt ID i e-mailens emnelinje. I mangel af et svar inden for 24 timer, bliver offeret henvist til at kontakte angriberne via en Telegram-konto (@Online7_365).

Notatet kræver betaling i Bitcoins for dekryptering, hvor beløbet varierer afhængigt af, hvor hurtigt offeret kontakter angriberne. Som garanti tilbyder den gratis dekryptering af op til tre filer, forudsat at de er under 4 MB og mangler værdifuld information.

Desuden advares offeret mod at omdøbe krypterede filer eller forsøge at dekryptere ved hjælp af tredjepartssoftware for at undgå permanent datatab eller at blive offer for svindel.

HUNTER Løsebeløbsnotat i sin helhed

Den komplette tekst af løsesumsedlen genereret af HUNTER i pop op-vinduet og info.hta-filen lyder som følger:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Hvordan kan ransomware magen til HUNTER inficere dit system?

Ransomware svarende til HUNTER kan inficere dit system gennem forskellige metoder, herunder:

Phishing-e-mails: En almindelig metode er gennem phishing-e-mails, der indeholder ondsindede vedhæftede filer eller links. Disse e-mails kan forekomme legitime og anvender ofte social engineering-taktikker til at narre brugere til at åbne vedhæftede filer eller klikke på links, som derefter downloader og udfører ransomwaren på systemet.

Ondsindede websteder: Besøg af kompromitterede eller ondsindede websteder kan også føre til ransomware-infektioner. Disse websteder kan udnytte sårbarheder i webbrowsere eller plugins til lydløst at downloade og installere ransomware på ofrets system uden deres viden eller samtykke.

Udnyttelse af softwaresårbarheder: Ransomware kan udnytte sårbarheder i software, såsom operativsystemer, webbrowsere eller plugins, til at få uautoriseret adgang til et system. Angribere kan udnytte kendte sårbarheder, som patches eller opdateringer ikke er blevet anvendt til, hvilket tillader ransomware at infiltrere systemet.

Remote Desktop Protocol (RDP)-angreb: Ransomware-angribere kan målrette mod systemer med blotlagte eller svagt sikrede RDP-forbindelser (Remote Desktop Protocol). De kan bruge brute-force-angreb eller få stjålne legitimationsoplysninger for at få uautoriseret adgang til systemet og implementere ransomware.

Ondsindede downloads: Brugere kan utilsigtet downloade ransomware ved at klikke på ondsindede reklamer, downloade piratkopieret software eller indhold fra utroværdige kilder eller installere falske softwareopdateringer eller applikationer fra tvivlsomme websteder.

Malvertising: Ondsindede reklamer eller malvertising kan omdirigere brugere til websteder, der hoster udnyttelsessæt, der leverer ransomware-nyttelast. Disse annoncer kan blive vist på legitime websteder og kan inficere brugernes systemer uden deres interaktion eller viden.

Drive-by-downloads: Ransomware kan også leveres gennem drive-by-downloads, hvor malware automatisk downloades og udføres, når en bruger besøger et kompromitteret websted eller interagerer med ondsindet indhold, der er indlejret i websider.