Dx31 Ransomware es una variante de Phobos

Durante nuestro análisis de nuevas muestras de archivos maliciosos, identificamos Dx31 como ransomware perteneciente a la familia Phobos. Tras la activación, Dx31 cifra los datos, cambia los nombres de todos los archivos cifrados y presenta dos notas de rescate ("info.hta" e "info.txt").

Dx31 agrega la identificación de la víctima, una dirección de correo electrónico y la extensión ".dx31" a los nombres de archivos. Por ejemplo, transforma "1.jpg" en "1.jpg.id[9ECFA84E-3449].[dx31@mail.com].dx31", y "2.png" en "2.png.id[9ECFA84E- 3449].[dx31@mail.com].dx31".

La nota de rescate sigue un patrón común asociado con los ataques de ransomware, notificando a la víctima sobre el cifrado de archivos debido a un supuesto problema de seguridad con su computadora. El mensaje indica a la víctima que se comunique con los atacantes por correo electrónico a dx31@mail.com, enfatizando la inclusión de una identificación específica en el asunto del correo electrónico.

Alternativamente, se proporciona otra dirección de correo electrónico (dx31@usa.com) para contactarnos si no hay respuesta dentro de las 24 horas. La exigencia de pago en Bitcoins por el descifrado de archivos está presente, y el monto del rescate no se especifica, dependiendo de la velocidad de respuesta de la víctima.

Para establecer credibilidad, los atacantes ofrecen descifrar hasta 5 archivos sin costo, con condiciones relacionadas con el tamaño y el contenido del archivo. La nota también proporciona orientación sobre cómo obtener Bitcoins y advierte contra el cambio de nombre de archivos cifrados o el uso de servicios de descifrado de terceros para evitar posibles estafas o mayores tarifas de rescate.

Nota de rescate Dx31 completa

El texto completo de la nota de rescate de Dx31 dice lo siguiente:

¡Todos tus archivos han sido cifrados!
Todos tus archivos han sido cifrados debido a un problema de seguridad con tu PC. Si deseas restaurarlos escríbenos al correo dx31@mail.com
Escriba este ID en el título de su mensaje -
En caso de no recibir respuesta en 24 horas escríbanos a este correo electrónico:dx31@usa.com
Tienes que pagar por el descifrado en Bitcoins. El precio depende de lo rápido que nos escribas. Después del pago, le enviaremos la herramienta que descifrará todos sus archivos.
Descifrado gratuito como garantía
Antes de pagar, puede enviarnos hasta 5 archivos para descifrarlos de forma gratuita. El tamaño total de los archivos debe ser inferior a 4 Mb (no archivados) y los archivos no deben contener información valiosa. (bases de datos, copias de seguridad, hojas de Excel grandes, etc.)
Cómo obtener Bitcoins
La forma más sencilla de comprar bitcoins es el sitio LocalBitcoins. Tienes que registrarte, hacer clic en 'Comprar bitcoins' y seleccionar el vendedor por método de pago y precio.
hxxps://localbitcoins.com/buy_bitcoins
También puedes encontrar otros lugares para comprar Bitcoins y una guía para principiantes aquí:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
¡Atención!
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos utilizando software de terceros, ya que puede provocar una pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede provocar un aumento del precio (ellos añaden su tarifa a la nuestra) o puede convertirse en víctima de una estafa.

¿Qué es la familia Phobos de variantes de ransomware?

La familia Phobos es un grupo de variantes de ransomware conocidas por sus actividades maliciosas al cifrar archivos en las computadoras de las víctimas y exigir un rescate por descifrarlos. Estas son las características clave de la familia de ransomware Phobos:

Cifrado de archivos: al igual que otras variantes de ransomware, Phobos cifra los archivos en el sistema de la víctima, haciéndolos inaccesibles. Se dirigen a tipos de archivos comunes, como documentos, imágenes, vídeos y más.

Notas de rescate: después de cifrar los archivos, Phobos normalmente deja notas de rescate en el sistema de la víctima. Estas notas contienen instrucciones sobre cómo contactar a los atacantes, detalles sobre el pago del rescate y, a veces, incluyen la identificación única de la víctima u otros identificadores.

Canales de comunicación: Phobos a menudo establece canales de comunicación a través de direcciones de correo electrónico proporcionadas en las notas de rescate. Se indica a las víctimas que se comuniquen con estas direcciones de correo electrónico para negociar el pago y recibir instrucciones sobre cómo descifrar sus archivos.

Variantes y evoluciones: la familia Phobos puede tener múltiples variantes o evolucionar con el tiempo con nuevas características o tácticas. Estas variaciones pueden tener similitudes en sus funcionalidades principales, pero podrían diferir en términos de algoritmos de cifrado, contenido de la nota de rescate o métodos de distribución.

Pago en criptomonedas: como muchas cepas de ransomware, Phobos normalmente exige el pago en criptomonedas, comúnmente Bitcoin. Esto se debe a que las criptomonedas proporcionan cierto grado de anonimato a los atacantes durante las transacciones financieras.

Ataques dirigidos: los ataques de Phobos pueden ser indiscriminados y afectar a personas, empresas u organizaciones. Los atacantes pueden utilizar varios métodos de distribución, como correos electrónicos de phishing, kits de explotación o vulnerabilidades en el software, para infectar los sistemas.

Doble extorsión: algunas versiones de Phobos, al igual que otras cepas modernas de ransomware, utilizan tácticas de doble extorsión. Además de cifrar archivos, los atacantes pueden amenazar con filtrar información confidencial a menos que se pague el rescate, lo que añade otra capa de presión sobre las víctimas.