Kmrox Ransomware er et Phobos-familiemedlem

Under undersøgelsen af nye filprøveindsendelser stødte vores forskere på en anden variant af Phobos ransomware kaldet Kmrox. Denne type malware falder ind under kategorien ransomware, som er designet til at kryptere data og kræve betaling for dets dekryptering.

På vores testsystem kodede Kmrox filer og ændrede deres navne. De originale filnavne blev udvidet med en unik identifikation knyttet til offeret, e-mail-adressen på de cyberkriminelle og en ".kmrox"-udvidelse. For eksempel dukkede en fil, der oprindeligt var mærket som "1.jpg" op som "1.jpg.id[9ECFA84E-3489].[exezez@blaze420.it].kmrox," og så videre. Efter dette blev løsesumsedler genereret gennem et pop-up vindue ("info.hta") og en tekstfil ("info.txt").

Løsepengemeddelelserne fra Kmrox angiver, at filerne er utilgængelige på grund af kryptering. Noterne indikerer, at den eneste måde at gendanne filerne på er at købe dekrypteringsnøglen og softwaren fra cyberkriminelle. Betalingen er påkrævet i form af Bitcoin cryptocurrency, selvom det nøjagtige beløb ikke er nævnt i disse meddelelser - det foreslås kun, at betalingen kan være påvirket af, hvor hurtigt kontakten etableres.

Offeret får også mulighed for en gratis dekrypteringstest (inden for specifikke parametre). Noterne afsluttes med advarsler mod at ændre de krypterede data og søge assistance fra tredjeparter.

Kmrox bruger lang løsesum-notat

Den komplette tekst til Kmrox løsesumseddel lyder som følger:

Alle dine filer er blevet krypteret!

I øjeblikket er der ingen måde at dekryptere dataene på, bortset fra at anmode os om en dekryptering og en nøgle, som du vil gendanne alle dine data med.
Hvis du vil gendanne dem, så skriv til os på e-mail: exezez@blaze420.it
Skriv dette ID i titlen på din besked -
For hurtig og praktisk feedback, skriv til onlineoperatøren i Telegram-messengeren: @exezaz
(Vær forsigtig, når du indtaster Telegram-kontonavnet, det skal være nøjagtigt det samme som ovenfor, pas på falske konti.)
Fra nogle e-mailtjenester kan dit brev muligvis ikke nå eller komme i spam, så for at øge sandsynligheden for at modtage et hurtigt svar, duplikere dine breve til vores ekstra e-mailadresser: helze@cyberfear.com og exezaz@msgden.com
Betaling for dekryptering sker i bitcoins. For at finde ud af prisen, skriv til ovenstående kontakter. Jo før du kontakter os, jo lavere bliver prisen. Efter betaling sender vi dig et værktøj, der dekrypterer alle dine filer.

Gratis dekryptering som garanti
Før du betaler, kan du sende os op til 3 filer til gratis dekryptering. Den samlede størrelse af filer skal være mindre end 4 Mb (ikke arkiveret), og filer bør ikke indeholde værdifuld information. (databaser, sikkerhedskopier, store excel-ark osv.)

Sådan får du Bitcoins
Du kan købe Bitcoin hvor som helst, der passer dig, en begyndervejledning er her:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Opmærksomhed!
For at få garanteret hjælp til at dekryptere dine filer, bedes du kun kontakte de kontakter, der er anført i denne note, for i øjeblikket er der mange svindlere, som,
under påskud af, at de kan dekryptere dine data, anmode om en gratis dekryptering gennem os og videregive det som en demonstration af, at de kan dekryptere dine filer.
Husk at nøglen til dekryptering af filer er individuel i hvert enkelt tilfælde, så du vil ikke selv kunne dekryptere dine filer ved hjælp af tredjepartssoftware, det vil kun ødelægge dine filer.
Hvis du ønsker at kommunikere gennem en mellemmand, så tjek prisen hos vores operatør på forhånd, da mellemmænd ofte afvikler den reelle pris. !!! Når du kontakter tredjeparter,
vi garanterer ikke dekryptering af dine filer!!!
For at undgå problemer med dekryptering skal du heller ikke omdøbe dine filer.

Hvad er Phobos Ransomware Family of Clones?

Phobos ransomware-familien består af en gruppe af ransomware-varianter, der deler lignende karakteristika og operationsmetoder. Disse varianter omtales ofte som "kloner", fordi de menes at være afledt af den samme originale kildekode eller deler en fælles ramme. Phobos ransomware-familien er kendt for at kryptere ofres filer og kræve en løsesum for deres dekryptering.

Phobos ransomware-varianterne udviser typisk følgende egenskaber:

• Filkryptering: Som de fleste ransomware krypterer Phobos-varianter ofres filer ved hjælp af stærke krypteringsalgoritmer, hvilket gør filerne utilgængelige uden en dekrypteringsnøgle.
• Ransom Notes: Phobos ransomware skaber løsesum noter, der informerer ofre om krypteringen og giver instruktioner om, hvordan man betaler løsesummen for at få dekrypteringsnøglen.
• E-mail-kontakter: Løsesedlerne inkluderer normalt e-mail-adresser, som ofre kan bruge til at kontakte angriberne for at få yderligere instruktioner om betaling og dekryptering.
• Unikke udvidelser: Phobos-varianter tilføjer ofte unikke udvidelser til krypterede filer, hvilket gør dem let identificerbare. Disse udvidelser er normalt en kombination af tilfældige tegn eller identifikatorer.
• Bitcoin-betalinger: Løsepengekravene anmodes typisk om i kryptovaluta, især Bitcoin, på grund af dens pseudonyme karakter, der gør det sværere at spore.
• Variabilitet i løsesum: Forskellige varianter af Phobos ransomware kan have varierende løsesum, ofte afhængigt af faktorer som offerets profil og hvor hurtigt de får kontakt med angriberne.
• Målrettet distribution: Phobos ransomware distribueres almindeligvis gennem phishing-e-mails, ondsindede vedhæftede filer, udnyttelsessæt og andre metoder, der bruges af cyberkriminelle til at sprede malware.
• Lignende kodebase: Phobos-varianter deler ligheder i kode og adfærd, hvilket tyder på en fælles kilde eller ramme, som angribere har ændret for at skabe forskellige versioner.

Det er vigtigt at bemærke, at selvom Phobos-varianter deler ligheder, kan de også udvikle sig over tid med nye funktioner, taktikker og teknikker. Som med enhver anden ransomware er det bedste forsvar mod Phobos og dets varianter en kombination af stærk cybersikkerhedspraksis, regelmæssig datasikkerhedskopiering, at holde software opdateret og opretholde en forsigtig tilgang til e-mailvedhæftede filer og links.