3AM Ransomware bloquea los archivos de las víctimas

3AM es un programa ransomware codificado en el lenguaje de programación Rust. Su objetivo principal es cifrar archivos. Una vez que se completa el proceso de cifrado, intenta borrar las instantáneas de volumen (VSS). Además, 3AM agrega la extensión ".tresamtime" a los nombres de los archivos cifrados y presenta un mensaje de rescate llamado "RECOVER-FILES.txt".

Para ilustrar cómo 3AM altera los nombres de archivos, transforma "1.jpg" en "1.jpg.tresamtime", "2.png" en "2.png.tresamtime", etc. La nota de rescate contenida en el archivo "RECOVER-FILES.txt" informa a las víctimas que sus archivos han sido cifrados y que sus sistemas pueden parecer no operativos y que ya no se puede acceder a las copias de seguridad. La nota desaconseja encarecidamente intentar la restauración automática, destacando el riesgo de una mayor pérdida de datos y daños irrecuperables.

Además, la nota revela que se han robado datos confidenciales de una red local, que incluyen registros financieros, detalles personales, documentos relacionados con el trabajo y más, con una garantía de confidencialidad para evitar daños a las empresas. La nota sugiere iniciar negociaciones para evitar la venta de datos en la web oscura, proporcionando información de contacto a través del navegador Tor y remitiendo una clave de acceso para la negociación.

La nota de rescate a las 3 a.m. no menciona ninguna suma de rescate

El texto completo de la nota de rescate de las 3 a.m. es el siguiente:

Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of life", the backups disappeared. But we can correct this very quickly and return all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their damage and the impossibility of recovery. We are not recommended to you to do it on our own!!! (or do at your own peril and risk).

There is another important point: we stole a fairly large amount of sensitive data from your local network: financial documents; personal information of your employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business. Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.

Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how they will be used.

Please contact us as soon as possible, using Tor-browser:

Access key:

¿Cómo se distribuye el ransomware como 3AM?

El ransomware como 3AM suele distribuirse mediante diversos métodos y vectores de ataque. A continuación se muestran algunos métodos de distribución comunes:

• Correos electrónicos de phishing: los ciberdelincuentes suelen utilizar correos electrónicos de phishing para distribuir ransomware. Envían correos electrónicos maliciosos que parecen legítimos, a menudo haciéndose pasar por entidades confiables o utilizando líneas de asunto atractivas. Estos correos electrónicos contienen archivos adjuntos o enlaces maliciosos que, al hacer clic o abrirse, descargan y ejecutan el ransomware en el dispositivo de la víctima.
• Archivos adjuntos maliciosos: el ransomware se puede propagar a través de archivos adjuntos de correo electrónico, como documentos infectados (por ejemplo, archivos Word o PDF) o archivos ejecutables (por ejemplo, archivos .exe o .js). Cuando la víctima abre estos archivos adjuntos, se activa la carga útil del ransomware.
• Publicidad maliciosa: los anuncios maliciosos (publicidad maliciosa) en sitios web o anuncios en línea pueden llevar a los usuarios a sitios web que alojan kits de exploits. Estos kits pueden aprovechar las vulnerabilidades del navegador web o los complementos de la víctima para distribuir ransomware.
• Descargas no autorizadas: los ciberdelincuentes pueden comprometer sitios web legítimos e inyectarles código malicioso. Cuando los usuarios visitan estos sitios comprometidos, sus dispositivos pueden infectarse sin que sea necesaria ninguna interacción.
• Ataques de protocolo de escritorio remoto (RDP): si RDP está habilitado y no está protegido adecuadamente en el sistema de una víctima, los atacantes pueden intentar obtener acceso adivinando contraseñas débiles o usando ataques de fuerza bruta. Una vez dentro, pueden implementar ransomware manualmente.
• Vulnerabilidades de software: los autores de ransomware pueden aprovechar vulnerabilidades conocidas en los sistemas operativos o el software para obtener acceso al sistema de la víctima. Mantener el software y los sistemas actualizados con parches de seguridad puede ayudar a mitigar este riesgo.
• Enlaces maliciosos: los ciberdelincuentes también pueden distribuir ransomware mediante tácticas de ingeniería social en las redes sociales, plataformas de mensajería instantánea o engañando a los usuarios para que hagan clic en enlaces maliciosos.
• USB y medios extraíbles: el ransomware puede propagarse a través de unidades USB infectadas u otros medios extraíbles. Cuando un usuario inserta una unidad infectada en su computadora, el ransomware puede ejecutarse y comenzar a cifrar archivos.