Dx31 Ransomware er en Phobos-variant

Under vores analyse af nye ondsindede filprøver identificerede vi Dx31 som ransomware tilhørende Phobos-familien. Ved aktivering krypterer Dx31 data, ændrer filnavne for alle krypterede filer og præsenterer to løsesumsedler ("info.hta" og "info.txt").

Dx31 tilføjer offerets ID, en e-mailadresse og ".dx31"-udvidelsen til filnavne. For eksempel omdanner den "1.jpg" til "1.jpg.id[9ECFA84E-3449].[dx31@mail.com].dx31", og "2.png" til "2.png.id[9ECFA84E- 3449].[dx31@mail.com].dx31".

Løsesedlen følger et almindeligt mønster, der er forbundet med ransomware-angreb, og underretter offeret om filkryptering på grund af et påstået sikkerhedsproblem med deres computer. Meddelelsen instruerer offeret om at kontakte angriberne via e-mail på dx31@mail.com, hvilket understreger medtagelsen af et specifikt ID i e-mailens emne.

Alternativt angives en anden e-mailadresse (dx31@usa.com) til kontakt, hvis der ikke er noget svar inden for 24 timer. Kravet om betaling i Bitcoins for fildekryptering er til stede, med løsesummen uspecificeret, afhængigt af hastigheden af ofrets reaktion.

For at etablere troværdighed tilbyder angriberne at dekryptere op til 5 filer uden omkostninger, med betingelser relateret til filstørrelse og indhold. Notatet giver også vejledning om at opnå Bitcoins og advarer mod at omdøbe krypterede filer eller bruge tredjeparts dekrypteringstjenester for at undgå potentiel svindel eller øgede løsepengegebyrer.

Dx31 Ransom Note i fuld

Den fulde tekst af Dx31 løsesumsedlen lyder som følger:

Alle dine filer er blevet krypteret!
Alle dine filer er blevet krypteret på grund af et sikkerhedsproblem med din pc. Hvis du vil gendanne dem, så skriv til os på e-mailen dx31@mail.com
Skriv dette ID i titlen på din besked -
I tilfælde af intet svar inden for 24 timer skriv til os på denne e-mail:dx31@usa.com
Du skal betale for dekryptering i Bitcoins. Prisen afhænger af, hvor hurtigt du skriver til os. Efter betaling sender vi dig værktøjet, der dekrypterer alle dine filer.
Gratis dekryptering som garanti
Før du betaler, kan du sende os op til 5 filer til gratis dekryptering. Den samlede størrelse af filer skal være mindre end 4 Mb (ikke arkiveret), og filer bør ikke indeholde værdifuld information. (databaser, sikkerhedskopier, store excel-ark osv.)
Sådan får du Bitcoins
Den nemmeste måde at købe bitcoins på er LocalBitcoins websted. Du skal registrere dig, klikke på 'Køb bitcoins' og vælge sælger efter betalingsmetode og pris.
hxxps://localbitcoins.com/buy_bitcoins
Du kan også finde andre steder at købe Bitcoins og begynderguide her:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Opmærksomhed!
Omdøb ikke krypterede filer.
Forsøg ikke at dekryptere dine data ved hjælp af tredjepartssoftware, det kan forårsage permanent datatab.
Dekryptering af dine filer med hjælp fra tredjeparter kan medføre øget pris (de tilføjer deres gebyr til vores), eller du kan blive offer for et svindelnummer.

Hvad er Phobos-familien af Ransomware-varianter?

Phobos-familien er en gruppe af ransomware-varianter kendt for deres ondsindede aktiviteter i at kryptere filer på ofrenes computere og kræve løsesum for dekryptering. Her er nøglekarakteristika for Phobos ransomware-familien:

Filkryptering: Ligesom andre ransomware-varianter krypterer Phobos filerne på et offers system, hvilket gør dem utilgængelige. Almindelige filtyper såsom dokumenter, billeder, videoer og mere er målrettet.

Løsebeløbsnotater: Efter kryptering af filerne efterlader Phobos typisk løsesumsedler på ofrets system. Disse noter indeholder instruktioner om, hvordan man kontakter angriberne, detaljer om løsesumsbetalingen og inkluderer nogle gange ofrets unikke ID eller andre identifikatorer.

Kommunikationskanaler: Phobos etablerer ofte kommunikationskanaler gennem e-mail-adresser, der er angivet i løsesumsedlerne. Ofre bliver bedt om at kontakte disse e-mailadresser for at forhandle betaling og modtage instruktioner om, hvordan de kan dekryptere deres filer.

Varianter og udviklinger: Phobos-familien kan have flere varianter eller udvikle sig over tid med nye funktioner eller taktikker. Disse variationer kan have ligheder i deres kernefunktioner, men kan afvige med hensyn til krypteringsalgoritmer, indhold af løsesumsedler eller distributionsmetoder.

Betaling i kryptovaluta: Som mange ransomware-stammer kræver Phobos typisk betaling i kryptovaluta, almindeligvis Bitcoin. Dette skyldes, at kryptovalutaer giver en grad af anonymitet for angriberne under finansielle transaktioner.

Målrettede angreb: Phobos-angreb kan være vilkårlige og påvirke enkeltpersoner, virksomheder eller organisationer. Angriberne kan bruge forskellige distributionsmetoder, såsom phishing-e-mails, udnyttelsessæt eller sårbarheder i software, til at inficere systemer.

Dobbelt afpresning: Nogle versioner af Phobos, ligesom andre moderne ransomware-stammer, engagerer sig i dobbelt afpresningstaktik. Ud over at kryptere filer kan angribere true med at lække følsomme oplysninger, medmindre løsesummen betales, hvilket tilføjer endnu et lag af pres på ofrene.