Dx31 Ransomware ist eine Phobos-Variante

Bei unserer Analyse neuer schädlicher Dateibeispiele haben wir Dx31 als Ransomware der Phobos-Familie identifiziert. Bei der Aktivierung verschlüsselt Dx31 Daten, ändert die Dateinamen aller verschlüsselten Dateien und präsentiert zwei Lösegeldforderungen („info.hta“ und „info.txt“).

Dx31 fügt den Dateinamen die ID des Opfers, eine E-Mail-Adresse und die Erweiterung „.dx31“ hinzu. Beispielsweise wird „1.jpg“ in „1.jpg.id[9ECFA84E-3449].[dx31@mail.com].dx31“ und „2.png“ in „2.png.id[9ECFA84E- 3449].[dx31@mail.com].dx31".

Der Lösegeldschein folgt einem üblichen Muster bei Ransomware-Angriffen und informiert das Opfer über die Dateiverschlüsselung aufgrund eines angeblichen Sicherheitsproblems auf seinem Computer. Die Nachricht weist das Opfer an, die Angreifer per E-Mail an dx31@mail.com zu kontaktieren, wobei die Angabe einer bestimmten ID im E-Mail-Betreff hervorgehoben wird.

Alternativ wird eine andere E-Mail-Adresse (dx31@usa.com) zur Kontaktaufnahme bereitgestellt, wenn innerhalb von 24 Stunden keine Antwort erfolgt. Es besteht die Forderung nach einer Zahlung in Bitcoins für die Dateientschlüsselung, die Höhe des Lösegelds bleibt jedoch unbestimmt und hängt von der Geschwindigkeit der Reaktion des Opfers ab.

Um Glaubwürdigkeit zu schaffen, bieten die Angreifer an, bis zu 5 Dateien kostenlos zu entschlüsseln, wobei Bedingungen hinsichtlich der Dateigröße und des Inhalts gelten. Der Hinweis enthält außerdem Hinweise zum Erhalt von Bitcoins und warnt davor, verschlüsselte Dateien umzubenennen oder Entschlüsselungsdienste Dritter zu nutzen, um mögliche Betrügereien oder erhöhte Lösegeldgebühren zu vermeiden.

Dx31-Lösegeldschein in voller Länge

Der vollständige Text der Dx31-Lösegeldforderung lautet wie folgt:

Alle Ihre Dateien wurden verschlüsselt!
Alle Ihre Dateien wurden aufgrund eines Sicherheitsproblems auf Ihrem PC verschlüsselt. Wenn Sie sie wiederherstellen möchten, schreiben Sie uns an die E-Mail dx31@mail.com
Schreiben Sie diese ID in den Titel Ihrer Nachricht –
Falls Sie innerhalb von 24 Stunden keine Antwort erhalten, schreiben Sie uns an diese E-Mail:dx31@usa.com
Die Entschlüsselung muss in Bitcoins bezahlt werden. Der Preis hängt davon ab, wie schnell Sie uns schreiben. Nach der Zahlung senden wir Ihnen das Tool zu, das alle Ihre Dateien entschlüsselt.
Kostenlose Entschlüsselung als Garantie
Vor der Zahlung können Sie uns bis zu 5 Dateien zur kostenlosen Entschlüsselung zusenden. Die Gesamtgröße der Dateien muss weniger als 4 MB betragen (nicht archiviert) und die Dateien dürfen keine wertvollen Informationen enthalten. (Datenbanken, Backups, große Excel-Tabellen usw.)
So erhalten Sie Bitcoins
Der einfachste Weg, Bitcoins zu kaufen, ist die Website LocalBitcoins. Sie müssen sich registrieren, auf „Bitcoins kaufen“ klicken und den Verkäufer nach Zahlungsmethode und Preis auswählen.
hxxps://localbitcoins.com/buy_bitcoins
Weitere Orte zum Kauf von Bitcoins und einen Leitfaden für Anfänger finden Sie hier:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Aufmerksamkeit!
Benennen Sie verschlüsselte Dateien nicht um.
Versuchen Sie nicht, Ihre Daten mit Software von Drittanbietern zu entschlüsseln, da dies zu einem dauerhaften Datenverlust führen kann.
Die Entschlüsselung Ihrer Dateien mit Hilfe Dritter kann zu höheren Kosten führen (sie berechnen ihre Gebühr zu unseren) oder Sie können Opfer eines Betrugs werden.

Was ist die Phobos-Familie von Ransomware-Varianten?

Die Phobos-Familie ist eine Gruppe von Ransomware-Varianten, die für ihre böswilligen Aktivitäten bekannt sind, bei denen sie Dateien auf den Computern der Opfer verschlüsseln und ein Lösegeld für die Entschlüsselung fordern. Hier sind die Hauptmerkmale der Phobos-Ransomware-Familie:

Dateiverschlüsselung: Wie andere Ransomware-Varianten verschlüsselt Phobos die Dateien auf dem System eines Opfers und macht sie so unzugänglich. Gängige Dateitypen wie Dokumente, Bilder, Videos und mehr werden gezielt angesprochen.

Lösegeldscheine: Nach der Verschlüsselung der Dateien hinterlässt Phobos normalerweise Lösegeldscheine auf dem System des Opfers. Diese Notizen enthalten Anweisungen zur Kontaktaufnahme mit den Angreifern, Einzelheiten zur Lösegeldzahlung und manchmal auch die eindeutige ID des Opfers oder andere Identifikatoren.

Kommunikationskanäle: Phobos baut Kommunikationskanäle häufig über E-Mail-Adressen auf, die in den Lösegeldforderungen angegeben sind. Opfer werden angewiesen, sich an diese E-Mail-Adressen zu wenden, um über die Zahlung zu verhandeln und Anweisungen zum Entschlüsseln ihrer Dateien zu erhalten.

Varianten und Entwicklungen: Die Phobos-Familie kann mehrere Varianten haben oder sich im Laufe der Zeit mit neuen Funktionen oder Taktiken weiterentwickeln. Diese Variationen weisen möglicherweise Ähnlichkeiten in ihren Kernfunktionen auf, können sich jedoch hinsichtlich der Verschlüsselungsalgorithmen, des Inhalts der Lösegeldforderungen oder der Verteilungsmethoden unterscheiden.

Zahlung in Kryptowährung: Wie viele Ransomware-Stämme verlangt Phobos typischerweise die Zahlung in Kryptowährung, üblicherweise Bitcoin. Dies liegt daran, dass Kryptowährungen den Angreifern bei Finanztransaktionen ein gewisses Maß an Anonymität bieten.

Gezielte Angriffe: Phobos-Angriffe können wahllos sein und Einzelpersonen, Unternehmen oder Organisationen betreffen. Die Angreifer können verschiedene Verbreitungsmethoden wie Phishing-E-Mails, Exploit-Kits oder Schwachstellen in Software nutzen, um Systeme zu infizieren.

Doppelte Erpressung: Einige Versionen von Phobos nutzen, wie auch andere moderne Ransomware-Stämme, doppelte Erpressungstaktiken. Zusätzlich zur Verschlüsselung von Dateien drohen Angreifer möglicherweise damit, vertrauliche Informationen preiszugeben, sofern das Lösegeld nicht gezahlt wird, was den Druck auf die Opfer noch weiter erhöht.