HUNTER Ransomware verschlüsselt Systeminhalte

Bei unserer Untersuchung von Malware-Beispielen haben wir HUNTER entdeckt, eine Variante der Ransomware der Phobos-Familie. Diese Malware verschlüsselt Dateien, ändert ihre Dateinamen und präsentiert zwei Lösegeldforderungen mit den Bezeichnungen „info.txt“ und „info.hta“. Darüber hinaus fügt die HUNTER-Ransomware den Dateinamen die ID des Opfers, eine E-Mail-Adresse und die Erweiterung „.HUNTER“ hinzu.

Beispielsweise wird „1.jpg“ in „1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER“ und „2.png“ in „2.png.id[ 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER“ und so weiter. Der Lösegeldschein informiert das Opfer über die Verschlüsselung seiner Dateien aufgrund eines Sicherheitsproblems auf seinem PC. Es stellt eine E-Mail-Adresse (hunter-x@tuta.io) für die Kommunikation mit den Angreifern bereit und empfiehlt die Angabe einer spezifischen ID in der Betreffzeile der E-Mail. Wenn innerhalb von 24 Stunden keine Antwort erfolgt, wird das Opfer angewiesen, die Angreifer über ein Telegram-Konto (@Online7_365) zu kontaktieren.

Der Hinweis fordert eine Zahlung in Bitcoins für die Entschlüsselung, wobei der Betrag davon abhängt, wie schnell das Opfer die Angreifer kontaktiert. Als Garantie bietet es die kostenlose Entschlüsselung von bis zu drei Dateien, sofern diese weniger als 4 MB groß sind und keine wertvollen Informationen enthalten.

Darüber hinaus wird das Opfer davor gewarnt, verschlüsselte Dateien umzubenennen oder eine Entschlüsselung mit Software von Drittanbietern zu versuchen, um dauerhaften Datenverlust zu vermeiden oder Opfer von Betrügereien zu werden.

HUNTER-Lösegeldschein in voller Länge

Der vollständige Text der von HUNTER im Popup-Fenster und in der Datei info.hta generierten Lösegeldforderung lautet wie folgt:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Wie kann Ransomware ähnlich wie HUNTER Ihr System infizieren?

Ransomware ähnlich wie HUNTER kann Ihr System auf verschiedene Weise infizieren, darunter:

Phishing-E-Mails: Eine gängige Methode sind Phishing-E-Mails mit schädlichen Anhängen oder Links. Diese E-Mails können legitim erscheinen und nutzen oft Social-Engineering-Taktiken, um Benutzer dazu zu verleiten, Anhänge zu öffnen oder auf Links zu klicken, die dann die Ransomware herunterladen und auf dem System ausführen.

Schädliche Websites: Auch der Besuch kompromittierter oder bösartiger Websites kann zu Ransomware-Infektionen führen. Diese Websites können Schwachstellen in Webbrowsern oder Plugins ausnutzen, um ohne deren Wissen oder Zustimmung unbemerkt Ransomware herunterzuladen und auf dem System des Opfers zu installieren.

Ausnutzen von Software-Schwachstellen: Ransomware kann Schwachstellen in Software wie Betriebssystemen, Webbrowsern oder Plug-ins ausnutzen, um unbefugten Zugriff auf ein System zu erhalten. Angreifer können bekannte Schwachstellen ausnutzen, für die keine Patches oder Updates installiert wurden, sodass die Ransomware das System infiltrieren kann.

Remote Desktop Protocol (RDP)-Angriffe: Ransomware-Angreifer können Systeme mit ungeschützten oder schwach gesicherten Remote Desktop Protocol (RDP)-Verbindungen ins Visier nehmen. Sie können Brute-Force-Angriffe durchführen oder gestohlene Anmeldeinformationen verwenden, um unbefugten Zugriff auf das System zu erhalten und Ransomware zu installieren.

Bösartige Downloads: Benutzer können versehentlich Ransomware herunterladen, indem sie auf bösartige Werbung klicken, Raubkopien von Software oder Inhalten aus nicht vertrauenswürdigen Quellen herunterladen oder gefälschte Softwareupdates oder Anwendungen von zweifelhaften Websites installieren.

Malvertising: Bösartige Werbung oder Malvertising kann Benutzer auf Websites umleiten, die Exploit-Kits hosten, die Ransomware-Payloads bereitstellen. Diese Anzeigen können auf legitimen Websites erscheinen und die Systeme der Benutzer ohne deren Interaktion oder Wissen infizieren.

Drive-by-Downloads: Ransomware kann auch durch Drive-by-Downloads verbreitet werden. Dabei wird Schadsoftware automatisch heruntergeladen und ausgeführt, wenn ein Benutzer eine kompromittierte Website besucht oder mit in Webseiten eingebetteten schädlichen Inhalten interagiert.