Το Buhti Ransomware στοχεύει σε θύματα με Windows και Linux

Το Buhti είναι ένας τύπος ransomware που στοχεύει συστήματα Windows και Linux. Ενώ το ωφέλιμο φορτίο ransomware Buhti εστιάζει κυρίως σε υπολογιστές με Windows και είναι μια παραλλαγή του προηγουμένως διαρρεύσαντος ransomware LockBit 3.0 με κάποιες μικρές προσαρμογές, έχει επίσης μια τροποποιημένη έκδοση ειδικά σχεδιασμένη για επίθεση σε συστήματα Linux, αξιοποιώντας το ransomware Babuk που διέρρευσε.

Όταν το Buhti μολύνει ένα σύστημα, κρυπτογραφεί τα αρχεία και αντικαθιστά τα αρχικά τους ονόματα αρχείων με μια σειρά από τυχαίους χαρακτήρες. Επιπλέον, το αναγνωριστικό του θύματος προσαρτάται ως η νέα επέκταση για κάθε κρυπτογραφημένο αρχείο. Για παράδειγμα, ένα αρχείο με το αρχικό όνομα "1.jpg" θα μετατραπεί σε "4G8of7O.fxkJts2wg", ενώ το "2.png" θα γίνει "HePwiFM.fxkJts2wg" και ούτω καθεξής. Παράλληλα με αυτήν τη διαδικασία κρυπτογράφησης, ο Buhti ρίχνει επίσης ένα σημείωμα λύτρων με το όνομα "[victim's_ID].README.txt".

Το σημείωμα λύτρων παρέχει μια εξήγηση ότι τα αρχεία του θύματος έχουν κρυπτογραφηθεί χρησιμοποιώντας ισχυρούς αλγόριθμους κρυπτογράφησης, καθιστώντας ουσιαστικά αδύνατο να αποκρυπτογραφήσουν τα δεδομένα ανεξάρτητα. Ωστόσο, το σημείωμα ισχυρίζεται ότι υπάρχει μια διαθέσιμη λύση για τα θύματα να ανακτήσουν τα αρχεία τους — αγοράζοντας ένα ειδικό πρόγραμμα γνωστό ως αποκρυπτογράφηση. Οι λυτρωτές καθησυχάζουν τα θύματα ότι αυτό το λογισμικό αποκρυπτογράφησης έχει υποβληθεί σε ενδελεχείς δοκιμές και θα επαναφέρει με επιτυχία τα δεδομένα τους.

Για να ανακτήσουν την πρόσβαση στα κρυπτογραφημένα αρχεία τους, η σημείωση καθοδηγεί τα θύματα να χρησιμοποιήσουν ένα πρόγραμμα περιήγησης ιστού και να επισκεφτούν έναν συγκεκριμένο ιστότοπο. Στη συνέχεια, τους ζητείται να εισαγάγουν μια έγκυρη διεύθυνση email, η οποία θα χρησιμοποιηθεί για τη λήψη ενός συνδέσμου λήψης για τον αποκρυπτογραφητή μετά την πραγματοποίηση της πληρωμής. Η πληρωμή λύτρων ζητείται σε Bitcoin και στα θύματα παρέχεται μια συγκεκριμένη διεύθυνση Bitcoin για τη συναλλαγή.

Μόλις ολοκληρωθεί η πληρωμή, τα θύματα θα λάβουν ένα email που θα περιέχει έναν σύνδεσμο προς μια σελίδα λήψης. Αυτή η σελίδα περιλαμβάνει λεπτομερείς οδηγίες σχετικά με τον τρόπο χρήσης του αποκρυπτογραφητή για την επαναφορά των αρχείων τους. Το σημείωμα λύτρων τονίζει τους πιθανούς κινδύνους τροποποίησης ή προσπάθειας ανεξάρτητης ανάκτησης των αρχείων, υποστηρίζοντας ότι τέτοιες ενέργειες δεν θα οδηγήσουν σε επιτυχή αποκατάσταση των κρυπτογραφημένων δεδομένων.

Το σημείωμα Buhti Ransom ζητά πληρωμή Bitcoin

Το πλήρες κείμενο του σημειώματος για τα λύτρα Buhti έχει ως εξής:

Καλώς ήρθατε στο buhtiRansom

Τι έγινε?

Τα αρχεία σας είναι κρυπτογραφημένα. Χρησιμοποιούμε ισχυρούς αλγόριθμους κρυπτογράφησης, επομένως δεν μπορείτε να αποκρυπτογραφήσετε τα δεδομένα σας.
Αλλά μπορείτε να επαναφέρετε τα πάντα αγοράζοντας ένα ειδικό πρόγραμμα από εμάς - καθολική αποκρυπτογράφηση. Αυτό το πρόγραμμα θα επαναφέρει όλα τα αρχεία σας.
Ακολουθήστε τις παρακάτω οδηγίες και θα ανακτήσετε όλα τα δεδομένα σας.

Τι εγγυήσεις;

Εκτιμούμε τη φήμη μας. Αν δεν κάνουμε τη δουλειά και τις υποχρεώσεις μας, κανείς δεν θα μας πληρώσει. Αυτό δεν είναι προς το συμφέρον μας.
Όλο το λογισμικό αποκρυπτογράφησης μας είναι άψογα ελεγμένο και θα αποκρυπτογραφήσει τα δεδομένα σας.

Πώς να αποκτήσετε πρόσβαση;

Χρήση προγράμματος περιήγησης:
1) Ανοίξτε τον ιστότοπο: hxxps://satoshidisk.com/pay/CIGsph
2) Εισαγάγετε έγκυρο email για να λάβετε τον σύνδεσμο λήψης μετά την πληρωμή.
3) Πληρώστε το ποσό στη διεύθυνση Bitcoin.
4) Λάβετε σύνδεσμο μέσω email στη σελίδα λήψης.
5) Περιλαμβάνεται εντολή αποκρυπτογράφησης.

!!! ΚΙΝΔΥΝΟΣ!!!
ΜΗΝ ΤΡΟΠΟΠΟΙΗΣΕΤΕ και ΜΗΝ προσπαθήσετε να ΑΝΑΚΤΗΣΕΤΕ κανένα αρχείο μόνοι σας. ΔΕΝ ΘΑ μπορεί να γίνει ΕΠΑΝΑΦΟΡΑ.
!!! ΚΙΝΔΥΝΟΣ!!!

Πώς διανέμεται στο Διαδίκτυο το Ransomware Like Buhti;

Το Ransomware όπως το Buhti διανέμεται συνήθως στο διαδίκτυο μέσω διαφόρων μεθόδων, εκμεταλλευόμενοι τα τρωτά σημεία και χρησιμοποιώντας τακτικές κοινωνικής μηχανικής. Ακολουθούν ορισμένα κοινά κανάλια διανομής και τεχνικές που χρησιμοποιούνται από ransomware όπως το Buhti:

• Email ηλεκτρονικού ψαρέματος: Μια διαδεδομένη μέθοδος είναι μέσω μηνυμάτων ηλεκτρονικού ψαρέματος. Οι εισβολείς στέλνουν παραπλανητικά μηνύματα ηλεκτρονικού ταχυδρομείου που φαίνονται νόμιμα, συχνά υποδύονται αξιόπιστους οργανισμούς ή άτομα. Αυτά τα μηνύματα ηλεκτρονικού ταχυδρομείου ενδέχεται να περιέχουν μολυσμένα συνημμένα, όπως κακόβουλα εκτελέσιμα αρχεία ή έγγραφα ενσωματωμένα σε κακόβουλο λογισμικό μακροεντολών. Το άνοιγμα αυτών των συνημμένων ενεργοποιεί τη διαδικασία εγκατάστασης ransomware.
• Κακόβουλοι ιστότοποι και λήψεις Drive-by: Οι εγκληματίες του κυβερνοχώρου ενδέχεται να δημιουργήσουν κακόβουλους ιστότοπους ή να παραβιάσουν νόμιμους ιστότοπους για τη διανομή ransomware. Οι ανυποψίαστοι χρήστες μπορούν εν αγνοία τους να κατεβάσουν το ransomware επισκεπτόμενοι αυτούς τους ιστότοπους ή κάνοντας κλικ σε παραβιασμένους συνδέσμους. Οι λήψεις μέσω Drive πραγματοποιούνται όταν γίνεται αυτόματη λήψη κακόβουλου λογισμικού χωρίς τη συγκατάθεση ή τη γνώση του χρήστη.
• Κιτ εκμετάλλευσης: Το Ransomware μπορεί να παραδοθεί χρησιμοποιώντας κιτ εκμετάλλευσης, τα οποία είναι κιτ εργαλείων που εκμεταλλεύονται ευπάθειες σε λογισμικό ή προγράμματα περιήγησης ιστού. Όταν ένας χρήστης επισκέπτεται έναν παραβιασμένο ιστότοπο ή κάνει κλικ σε μια κακόβουλη διαφήμιση, το κιτ εκμετάλλευσης σαρώνει για τρωτά σημεία και παραδίδει το ωφέλιμο φορτίο ransomware.
• Επιθέσεις πρωτοκόλλου απομακρυσμένης επιφάνειας εργασίας (RDP): Οι εισβολείς στοχεύουν συστήματα με εκτεθειμένες ή ασθενώς ασφαλισμένες συνδέσεις πρωτοκόλλου απομακρυσμένης επιφάνειας εργασίας. Χρησιμοποιούν επιθέσεις ωμής βίας για να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση στο σύστημα και να εγκαταστήσουν ransomware.
• Κακόβουλες διαφημίσεις (Κακόβουλες διαφημίσεις): Κακόβουλες διαφημίσεις ή κακόβουλες διαφημίσεις, μπορούν να βρεθούν σε νόμιμους ιστότοπους και δίκτυα διαφημίσεων. Αυτές οι διαφημίσεις περιέχουν κρυφά σενάρια που ανακατευθύνουν τους χρήστες σε ιστότοπους που φιλοξενούν ransomware ή ενεργοποιούν αυτόματες λήψεις.
• Δίκτυα κοινής χρήσης αρχείων και πειρατικό λογισμικό: Το παράνομο ή σπασμένο λογισμικό που λαμβάνεται από δίκτυα κοινής χρήσης αρχείων συχνά συνοδεύεται από ransomware ή άλλο κακόβουλο λογισμικό. Οι χρήστες που επιδιώκουν να αποκτήσουν λογισμικό ή πολυμέσα χωρίς να πληρώσουν κινδυνεύουν να εγκαταστήσουν ακούσια ransomware.
• Εκμετάλλευση ευπαθειών λογισμικού: Οι συντάκτες του Ransomware εκμεταλλεύονται ευπάθειες σε λειτουργικά συστήματα, εφαρμογές ή υπηρεσίες δικτύου. Στοχεύοντας μη επιδιορθωμένο ή ξεπερασμένο λογισμικό, μπορούν να αποκτήσουν μη εξουσιοδοτημένη πρόσβαση και να αναπτύξουν το ωφέλιμο φορτίο ransomware.

Είναι σημαντικό να διατηρείτε ενημερωμένο λογισμικό ασφαλείας, να εφαρμόζετε τακτικά ενημερώσεις κώδικα και ενημερώσεις λογισμικού, να είστε προσεκτικοί όταν ανοίγετε συνημμένα email ή κάνοντας κλικ σε ύποπτους συνδέσμους και να χρησιμοποιείτε ισχυρούς, μοναδικούς κωδικούς πρόσβασης για να ελαχιστοποιείτε τον κίνδυνο να πέσετε θύματα επιθέσεων ransomware.