3AM-Ransomware sperrt Opferdateien

3AM ist ein Ransomware-Programm, das in der Programmiersprache Rust codiert ist. Sein Hauptziel ist die Verschlüsselung von Dateien. Sobald der Verschlüsselungsprozess abgeschlossen ist, wird versucht, Volume Shadow (VSS)-Kopien zu löschen. Darüber hinaus fügt 3AM den Dateinamen der verschlüsselten Dateien die Erweiterung „. threeamtime“ hinzu und präsentiert eine Lösegeldforderung mit dem Namen „RECOVER-FILES.txt“.

Um zu veranschaulichen, wie 3AM Dateinamen ändert, wandelt es „1.jpg“ in „1.jpg.dreiamtime“, „2.png“ in „2.png.dreiamtime“ usw. um. Der in der Datei „RECOVER-FILES.txt“ enthaltene Lösegeldschein informiert die Opfer darüber, dass ihre Dateien verschlüsselt wurden und ihre Systeme möglicherweise nicht betriebsbereit zu sein scheinen und auf Backups nicht mehr zugegriffen werden kann. Der Hinweis rät dringend davon ab, eine Selbstwiederherstellung zu versuchen, und weist auf das Risiko eines weiteren Datenverlusts und unwiederbringlichen Schadens hin.

Darüber hinaus wird in der Notiz offengelegt, dass sensible Daten aus einem lokalen Netzwerk gestohlen wurden, darunter Finanzunterlagen, persönliche Daten, arbeitsbezogene Dokumente und mehr, wobei die Vertraulichkeit zugesichert wurde, um Schaden für Unternehmen abzuwenden. In der Notiz wird vorgeschlagen, Verhandlungen aufzunehmen, um den Verkauf von Daten im Dark Web zu verhindern, Kontaktinformationen über den Tor-Browser bereitzustellen und auf einen Zugangsschlüssel für Verhandlungen zu verweisen.

In der Lösegeldforderung um 3 Uhr morgens wird keine Lösegeldsumme erwähnt

Der vollständige Text der 3AM-Lösegeldforderung lautet wie folgt:

Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of life", the backups disappeared. But we can correct this very quickly and return all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their damage and the impossibility of recovery. We are not recommended to you to do it on our own!!! (or do at your own peril and risk).

There is another important point: we stole a fairly large amount of sensitive data from your local network: financial documents; personal information of your employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business. Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.

Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how they will be used.

Please contact us as soon as possible, using Tor-browser:

Access key:

Wie wird Ransomware Like 3AM verbreitet?

Ransomware wie 3AM wird typischerweise über verschiedene Methoden und Angriffsvektoren verbreitet. Hier sind einige gängige Verteilungsmethoden:

• Phishing-E-Mails: Cyberkriminelle nutzen Phishing-E-Mails häufig, um Ransomware zu verbreiten. Sie versenden bösartige E-Mails, die seriös erscheinen, wobei sie sich häufig als vertrauenswürdige Entitäten ausgeben oder verlockende Betreffzeilen verwenden. Diese E-Mails enthalten bösartige Anhänge oder Links, die beim Klicken oder Öffnen die Ransomware herunterladen und auf dem Gerät des Opfers ausführen.
• Schädliche Anhänge: Ransomware kann über E-Mail-Anhänge verbreitet werden, beispielsweise über infizierte Dokumente (z. B. Word- oder PDF-Dateien) oder ausführbare Dateien (z. B. .exe- oder .js-Dateien). Wenn das Opfer diese Anhänge öffnet, wird die Ransomware-Payload aktiviert.
• Malvertising: Schädliche Werbung (Malvertising) auf Websites oder Online-Anzeigen kann Benutzer zu Websites führen, auf denen Exploit-Kits gehostet werden. Diese Kits können Schwachstellen im Webbrowser oder in Plugins des Opfers ausnutzen, um Ransomware zu verbreiten.
• Drive-By-Downloads: Cyberkriminelle können legitime Websites kompromittieren und bösartigen Code in sie einschleusen. Wenn Benutzer diese kompromittierten Websites besuchen, können ihre Geräte infiziert werden, ohne dass eine Interaktion erforderlich ist.
• Remote Desktop Protocol (RDP)-Angriffe: Wenn RDP aktiviert und auf dem System eines Opfers nicht ordnungsgemäß gesichert ist, versuchen Angreifer möglicherweise, sich Zugriff zu verschaffen, indem sie schwache Passwörter erraten oder Brute-Force-Angriffe verwenden. Sobald sie drinnen sind, können sie Ransomware manuell verteilen.
• Software-Schwachstellen: Ransomware-Autoren können bekannte Schwachstellen in Betriebssystemen oder Software ausnutzen, um Zugriff auf das System eines Opfers zu erhalten. Indem Sie Software und Systeme mit Sicherheitspatches auf dem neuesten Stand halten, können Sie dieses Risiko mindern.
• Schädliche Links: Cyberkriminelle verbreiten Ransomware möglicherweise auch durch Social-Engineering-Taktiken in sozialen Medien, auf Instant-Messaging-Plattformen oder indem sie Benutzer dazu verleiten, auf bösartige Links zu klicken.
• USB und Wechselmedien: Ransomware kann sich über infizierte USB-Laufwerke oder andere Wechselmedien verbreiten. Wenn ein Benutzer ein infiziertes Laufwerk in seinen Computer einfügt, kann die Ransomware ausgeführt werden und mit der Verschlüsselung von Dateien beginnen.