GrafGrafel Ransomware truer med dobbelt afpresning

Mens vi undersøgte nye filprøver, afslørede vores forskerhold det ondsindede program GrafGrafel, der tilhører Phobos ransomware-familien. Denne type malware krypterer data og kræver løsesum for dekryptering.

Efter at have kørt en prøve af GrafGrafel på vores testmaskine, krypterede den filer og ændrede deres filnavne. De originale titler indeholdt nu et unikt ID tildelt til offeret, cyberkriminelles e-mailadresse og en ".GrafGrafel"-udvidelse. For eksempel, en fil med navnet "1.jpg" transformeret til "1.jpg.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel" efter kryptering.

Efter denne krypteringsproces dukkede løsesumsedler op i en pop-up ("info.hta") og tekstfiler ("info.txt"). Tekstfilerne blev deponeret i krypterede mapper og på skrivebordet. Indholdet af disse noter indikerer, at GrafGrafel specifikt retter sig mod virksomheder snarere end individuelle brugere, idet de anvender dobbelt afpresningstaktik.

Både pop-up- og tekstfilerne indeholder identiske meddelelser, der fortæller, at ofrets filer er krypteret, og følsomme virksomhedsdata er blevet eksfiltreret. Angriberne kræver løsesum og truer med at lække de stjålne oplysninger og holde de låste data utilgængelige, hvis deres krav ikke bliver opfyldt. Noterne understreger risikoen for virksomhedens datalæk og nævner en reduktion på 30 % af løsesummen, hvis ofret kontakter de cyberkriminelle inden for 6 timer.

Inden betalingen foretages, har offeret mulighed for at teste dekryptering på et par små filer. Meddelelserne advarer mod handlinger, der kan resultere i permanent datatab, såsom genstart eller lukning af systemet, omdøbning/kopiering/flytning eller ændring af de berørte filer, brug af tredjeparts dekrypteringsværktøjer og kontakt til gendannelsesvirksomheder eller myndigheder.

GrafGrafel Ransom Note strækker sig over flere sider med tekst

Den komplette tekst af GrafGrafel løsesumsedlen lyder som følger:

ATTENTION

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Hvad du vil møde, hvis dine data kommer på det sorte marked:
Dine medarbejderes og kunders personlige oplysninger kan blive brugt til at opnå lån eller køb i netbutikker.
Du kan blive sagsøgt af kunder i din virksomhed for at lække oplysninger, der var fortrolige.
Efter at andre hackere har fået personlige data om dine medarbejdere, vil social engineering blive anvendt på din virksomhed, og efterfølgende angreb vil kun intensivere.
Bankoplysninger og pas kan bruges til at oprette bankkonti og online tegnebøger, hvorigennem kriminelle penge vil blive hvidvasket.
Du vil for altid miste omdømmet.
Du vil blive udsat for enorme bøder fra regeringen.
Du kan lære mere om ansvar for tab af data her: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulationeller her hxxps://gdpr-info.eu
Domstole, bøder og manglende evne til at bruge vigtige filer vil føre dig til enorme tab. Konsekvenserne af dette vil være irreversible for dig.
Kontakt til politiet vil ikke redde dig fra disse konsekvenser, og tabte data vil kun gøre din situation værre.

Sådan kontakter du os
Skriv til os på mails: GrafGrafel@tutanota.com
Du kan kontakte vores online operatør i telegram: @GROUNDINGCONDUCTOR (VÆR FORSIGTIG MED FAKE)
Download (Session) messenger hxxps://getsession.org i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Skriv dette ID i titlen på din besked -
HVIS DU KONTAKTER OS I DE FØRSTE 6 timer, og vi lukker vores aftale om 24 timer, VIL PRISEN KUN VÆRE 30%.
(tid er penge for os begge, hvis du vil passe på vores tid, vil vi gøre det samme, vi tager os af prisen, og dekrypteringsprocessen vil blive gjort MEGET HURTIGT)
ALLE DOWNLOADDE DATA SLETTES efter betaling.

Hvad nej at gøre og anbefaling
Du kan komme ud af denne situation med minimale tab (Vores omdømme er vores penge!) !!! For at gøre dette skal du nøje overholde følgende regler:
Ændre IKKE, omdøb IKKE, kopier IKKE, flyt IKKE nogen filer. Sådanne handlinger kan SKADE dem, og dekryptering vil være umulig.
Brug IKKE nogen tredjeparts eller offentlig dekrypteringssoftware, det kan også SKADE filer.
Sluk eller genstart IKKE systemet, dette kan SKADE filer.
Ansæt IKKE nogen tredjepartsforhandlere (inddrivelse/politi osv.) Du skal kontakte os hurtigst muligt og starte forhandlinger.
Du kan sende os 1-2 små data, ikke værdifiler til test, vi dekrypterer dem og sender dem tilbage til dig.
Efter betaling behøver vi ikke mere end 2 timer til at dekryptere alle dine data. Vi vil hjælpe dig, indtil fuldstændig dekryptering vil blive udført! ! ! (Vores omdømme er vores penge!)

Instruktioner til at kontakte vores team:
Download (Session) messenger (hxxps://getsession.org) i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram : @GROUNDINGCONDUCTOR (VÆR FORSIGTIG MED FAKE)
MAIL: GrafGrafel@tutanota.com

Hvad er Phobos-familien af Ransomware-kloner?

Phobos er en familie af ransomware, der har været kendt for at målrette mod Windows-systemer. Det er designet til at kryptere filer på det inficerede system, hvilket gør dem utilgængelige for brugeren, og kræver derefter en løsesum i bytte for dekrypteringsnøglen. Phobos ransomware-familien er karakteriseret ved dens brug af en specifik filtypenavn tilføjet til de krypterede filer, som ofte afspejler navnet på ransomware-varianten.

Løsesedlerne leveret af Phobos indeholder typisk instruktioner om, hvordan offeret kan betale løsesummen for at få dekrypteringsnøglen. Phobos er kendt for at anvende dobbelt afpresningstaktik, hvor det udover at kryptere filer kan eksfiltrere følsomme data fra det kompromitterede system. Trusselsaktørerne bag Phobos bruger derefter de stjålne data som løftestang og truer med at offentliggøre dem, medmindre løsesummen betales.

Det er vigtigt at bemærke, at der er mange varianter og kloner inden for Phobos ransomware-familien, hver med sine egne specifikke karakteristika og operationsmetoder. Disse varianter kan introduceres eller modificeres over tid af forskellige cyberkriminelle grupper. På grund af den udviklende karakter af ransomware arbejder cybersikkerhedseksperter og antivirusvirksomheder konstant på at opdage og afbøde trusler forbundet med Phobos-familien og andre ransomware-stammer. Regelmæssig opdatering af sikkerhedssoftware, praktisering af god cybersikkerhedshygiejne og vedligeholdelse af sikker backup-praksis er afgørende for at minimere risikoen og virkningen af ransomware-angreb.