Mamai Ransomware es una nueva variante de MedusaLocker

Nuestros investigadores han descubierto Mamai, un tipo de ransomware que pertenece a la familia de ransomware MedusaLocker. Al probar el malware en nuestro sistema, comenzó a cifrar archivos y agregó la extensión ".mamai10" a sus nombres de archivo. El número específico en la extensión puede variar según la variante del ransomware.

Una vez que se completó el proceso de cifrado, Mamai dejó caer un mensaje de rescate llamado "How_to_back_files.html" en el escritorio. Este mensaje indica que Mamai se dirige a empresas en lugar de usuarios individuales. La nota de rescate indica que la red de la empresa de la víctima ha sido violada y los archivos se han cifrado con algoritmos RSA y AES. La nota advierte contra el cambio de nombre o la modificación de los archivos cifrados, así como el uso de herramientas de descifrado de terceros, ya que esto provocaría la pérdida permanente de datos. Los atacantes afirman haber robado los datos personales y confidenciales de las víctimas.

Para recuperar el acceso a los archivos cifrados, los atacantes exigen el pago de un rescate. Si la víctima se niega a pagar, sus datos permanecerán inaccesibles y los datos robados se venderán o filtrarán. No se especifica el monto del rescate, pero la nota advierte que aumentará si no se establece contacto con los atacantes dentro de las 72 horas. La víctima puede probar el descifrado enviando dos o tres archivos cifrados a los atacantes antes de pagar el rescate, según la nota.

La nota de rescate de Mamai no menciona ningún rescate específico

El texto completo de la nota de rescate de Mamai es el siguiente:

SU IDENTIFICACIÓN PERSONAL:

! ¡LA RED DE SU EMPRESA HA SIDO PENETRADA!
¡Todos sus archivos importantes han sido encriptados!

¡Tus archivos están seguros! Solo modificado. (RSA+AES)

CUALQUIER INTENTO DE RESTAURAR SUS ARCHIVOS CON SOFTWARE DE TERCEROS
LO CORROMPIRÁ PERMANENTEMENTE.
NO MODIFIQUE LOS ARCHIVOS CIFRADOS.
NO CAMBIE EL NOMBRE DE LOS ARCHIVOS CIFRADOS.

Ningún software disponible en Internet puede ayudarte. Somos los únicos capaces de
resuelve tu problema

Recopilamos datos altamente confidenciales/personales. Estos datos están actualmente almacenados en
un servidor privado. Este servidor será destruido inmediatamente después de su pago.
Si decide no pagar, divulgaremos sus datos al público o al revendedor.
Por lo tanto, puede esperar que sus datos estén disponibles públicamente en un futuro cercano.

Solo buscamos dinero y nuestro objetivo no es dañar su reputación o evitar
su negocio se ejecute.

Puede enviarnos 2-3 archivos no importantes y los descifraremos de forma gratuita
para demostrar que podemos devolverle sus archivos.

Póngase en contacto con nosotros para conocer el precio y obtener el software de descifrado.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.cebolla

• Tenga en cuenta que este servidor está disponible solo a través del navegador Tor

Siga las instrucciones para abrir el enlace:

1. Escriba la dirección "hxxps://www.torproject.org" en su navegador de Internet. Abre el sitio Tor.
2. Presione "Descargar Tor", luego presione "Descargar paquete de navegador Tor", instálelo y ejecútelo.
3. Ahora tienes el navegador Tor. En el navegador Tor, abra qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
4. Inicie un chat y siga las instrucciones adicionales.
   Si no puede utilizar el enlace anterior, utilice el correo electrónico:
   ithelp01@decorous.cyou
   ithelp01@wholeness.negocio

• Para contactarnos, cree una nueva cuenta de correo electrónico gratuita en el sitio: protonmail.com
  SI NO SE CONTACTA CON NOSOTROS DENTRO DE LAS 72 HORAS, EL PRECIO SERÁ MÁS ALTO.

¿Cómo se distribuye normalmente el ransomware como Mamai?

El ransomware como Mamai se puede distribuir a través de varios medios, incluidos correos electrónicos de phishing, archivos adjuntos maliciosos, sitios web comprometidos y kits de explotación. Los correos electrónicos de phishing son el método de distribución más común, en el que los ciberdelincuentes envían correos electrónicos que parecen legítimos y engañan a los usuarios para que hagan clic en enlaces maliciosos o descarguen archivos adjuntos infectados.

Los archivos adjuntos maliciosos son otro método popular de distribución, donde los ciberdelincuentes envían correos electrónicos con archivos adjuntos que contienen el ransomware, disfrazado de archivos o documentos legítimos. Los sitios web comprometidos y los kits de explotación también se utilizan para distribuir ransomware mediante la explotación de vulnerabilidades en el software o el uso de descargas ocultas.