Trash Panda Ransomware zeigt ungewöhnliche Lösegeldforderung an
Bei unserer routinemäßigen Prüfung der kürzlich eingereichten Dateien stieß unsere Forschungsgruppe auf die Ransomware-Variante Trash Panda. Diese spezielle Schadsoftware wurde im Rahmen unserer kontinuierlichen Bemühungen zur Untersuchung neuer Bedrohungen entdeckt.
Beim Ausführen eines Beispiels von Trash Panda in unserer kontrollierten Testumgebung startete das Programm umgehend seine Datenverschlüsselungsroutine. Infolgedessen wurden die Dateinamen geändert und um die Erweiterung „.monochrome“ erweitert. Beispielsweise wurde eine Datei mit dem Namen „1.jpg“ schnell in „1.jpg.monochrome“ umgewandelt, während „2.png“ zu „2.png.monochrome“ wurde und so weiter. Sobald dieser Verschlüsselungsprozess abgeschlossen war, wurde ein begleitender Lösegeldschein mit der Bezeichnung „[random_string]-readme.html“ erstellt.
Der von Trash Panda verwendete Lösegeldschein übermittelt die beunruhigende Nachricht, dass die Dateien des Opfers sicher verschlüsselt wurden. In der Mitteilung wird weiterhin empfohlen, Kontakt zu den böswilligen Akteuren hinter dem Angriff aufzunehmen, um den Wiederherstellungsprozess für die kompromittierten Daten einzuleiten. Darin ist eine entscheidende Warnung enthalten, die darauf hinweist, dass das Versäumnis, Kontakt mit den Cyberkriminellen aufzunehmen, bevor die Countdown-Uhr Null erreicht, zur dauerhaften Löschung des Entschlüsselungsschlüssels führt, wodurch alle Versuche einer Datenwiederherstellung praktisch sinnlos werden.
Trash Panda-Lösegeldschein spielt auf militärischen Konflikt an
Der vollständige Text der Trash Panda-Ransomware verwendet Leet-Speak, wobei Buchstaben durch Zahlen ersetzt werden, und bezieht sich auf eine Art bewaffneten Konflikt, ohne etwas Konkretes zu erwähnen. Die Notiz lautet wie folgt:
Team Trash Panda war hier
Alle Ihre Dateien wurden von unserem gelöscht
7r45H P4ND4 Asomeware
Lass uns einen D341 bauen. Sie befreien unser Volk. Wir geben Ihre Daten frei.
Versuchen Sie nicht, eine Datei wiederherzustellen. Alle Dateien wurden mithilfe eines sehr fortschrittlichen Verschlüsselungsstandards gelöscht, der vom US-amerikanischen National Institute of Standards and Technology (NIST) entwickelt wurde. Über den folgenden Link erfahren Sie, wie Ihre Dateien in den Papierkorb verschoben wurden. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Ihre Daten sind uns egal. Uns ist Geld egal. Wir möchten, dass unsere Familie zu uns zurückkehrt und SIE UNSER MUTTERLAND VERLASSEN.
Oh, übrigens, Sie haben nur begrenzte Zeit, eine Entscheidung zu treffen. Wir werden den Hauptschlüssel löschen, nachdem die Countdown-Uhr abgelaufen ist. Beeilen Sie sich ~ Beeilen Sie sich ~
IHR SCHLÜSSEL WIRD DANACH GELÖSCHT
(Countdown-Timer)Sie erreichen uns unter -
Wenn Sie Ihre Dateien zurückhaben möchten, geben Sie den folgenden Schlüssel in das Eingabeformular ein. Wir werden Sie später kontaktieren
Wie wird Ransomware wie Trash Panda online verbreitet?
Die Verbreitung von Ransomware wie Trash Panda beinhaltet typischerweise eine Vielzahl von Taktiken und Techniken, die darauf abzielen, Schwachstellen, Benutzerverhalten und technologische Schwächen auszunutzen. Obwohl ich keine spezifischen Informationen über die Verbreitungsmethoden von „Trash Panda“ habe, da mein Wissensschluss im September 2021 ist, kann ich Ihnen allgemeine Einblicke in die Art und Weise geben, wie Ransomware häufig verbreitet wird:
- Phishing-E-Mails: Cyberkriminelle versenden oft überzeugende E-Mails, die scheinbar aus legitimen Quellen stammen und bösartige Anhänge oder Links enthalten. Wenn Benutzer mit diesen Anhängen oder Links interagieren, wird die Ransomware-Payload heruntergeladen und auf ihrem System ausgeführt.
- Malvertising: Schädliche Werbung auf Websites oder Werbenetzwerken kann Benutzer zu Websites führen, auf denen Ransomware gehostet wird. Schon der Besuch einer kompromittierten Website kann den Download der Ransomware auf den Computer des Opfers auslösen.
- Drive-By-Downloads: Cyberkriminelle können Schwachstellen in Software, Plugins oder Browserkomponenten ausnutzen, um Ransomware ohne Benutzerinteraktion auf das System eines Benutzers zu übertragen. Dies wird als Drive-by-Download bezeichnet.
- Kompromittierte Software-Installationsprogramme: Angreifer können legitime Software-Installationsprogramme infiltrieren und so die Ransomware-Payload hinzufügen. Wenn Benutzer die Software von kompromittierten Quellen herunterladen und installieren, wird auch die Ransomware installiert.
- Remote Desktop Protocol (RDP)-Angriffe: Angreifer können Systeme mit schwachen oder ungeschützten RDP-Verbindungen ins Visier nehmen. Sie verschaffen sich Zugriff und installieren Ransomware manuell oder nutzen automatisierte Tools, um die Ransomware-Payload auszuliefern.
- Schädliche Makros: Schädliche Makros, die in Microsoft Office-Dokumente eingebettet sind, können zum Herunterladen und Ausführen von Ransomware verwendet werden, wenn Benutzer Makros in diesen Dokumenten aktivieren.
