Trash Panda Ransomware muestra una nota de rescate inusual

Durante nuestro examen de rutina de los envíos de archivos recientes, nuestro grupo de investigación tropezó con la variante del ransomware Trash Panda. Este software malicioso en particular se descubrió como parte de nuestros continuos esfuerzos para investigar las amenazas emergentes.

Al ejecutar una muestra de Trash Panda en nuestro entorno de prueba controlado, el programa inició rápidamente su rutina de cifrado de datos. Como resultado, los nombres de los archivos se modificaron con la adición de una extensión ".monochrome". Por ejemplo, un archivo llamado "1.jpg" se transformó rápidamente en "1.jpg.monocromo", mientras que "2.png" se convirtió en "2.png.monocromo", y así sucesivamente. Una vez que este proceso de encriptación llegó a su fin, se generó una nota de rescate adjunta etiquetada como "[random_string]-readme.html".

La nota de rescate empleada por Trash Panda transmite el angustioso mensaje de que los archivos de la víctima se han cifrado de forma segura. La nota continúa abogando por llegar a los actores maliciosos detrás del ataque para iniciar el proceso de recuperación de los datos comprometidos. Se incluye una advertencia crucial, que subraya que si no se establece contacto con los ciberdelincuentes antes de que el reloj de cuenta regresiva llegue a cero, se eliminará permanentemente la clave de descifrado, lo que hará que cualquier intento de restauración de datos sea inútil.

La nota de rescate de Trash Panda alude a un conflicto militar

El texto completo del ransomware Trash Panda usa leet-speak, sustituyendo letras por números, y se refiere a algún tipo de conflicto armado sin mencionar nada específico. La nota dice lo siguiente:

El equipo Trash Panda estuvo aquí

Todos sus archivos han sido eliminados por nuestro

7r45H P4ND4 Asomeware

Hagamos un D341. Liberas a nuestra gente. Liberamos tus datos.

No intente recuperar ningún archivo. Todos los archivos se eliminaron utilizando un estándar de cifrado muy avanzado establecido por el Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST). Puede consultar el siguiente enlace para saber cómo se eliminaron sus archivos. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard

No nos importan tus datos. No nos importa el dinero. Queremos que nuestra familia regrese con nosotros y USTEDES SALGAN DE NUESTRA PATRIA.

Oh, por cierto, tienes tiempo limitado para tomar una decisión. Eliminaremos la clave maestra después de que expire el reloj de cuenta regresiva. Date prisa ~ Date prisa ~

SU CLAVE SERÁ ELIMINADA DESPUÉS
(contador regresivo)

Puede contactarnos en -

Si desea recuperar sus archivos, ingrese la siguiente clave en el formulario de entrada. Nos pondremos en contacto con usted más tarde

¿Cómo se distribuye en línea Ransomware Like Trash Panda?

La distribución de ransomware como Trash Panda generalmente involucra una variedad de tácticas y técnicas diseñadas para explotar vulnerabilidades, comportamientos de los usuarios y debilidades tecnológicas. Si bien no tengo información específica sobre los métodos de distribución de "Trash Panda" ya que mi límite de conocimiento es en septiembre de 2021, puedo brindarle información general sobre cómo se distribuye comúnmente el ransomware:

• Correos electrónicos de phishing: los ciberdelincuentes a menudo envían correos electrónicos convincentes que parecen provenir de fuentes legítimas y que contienen archivos adjuntos o enlaces maliciosos. Cuando los usuarios interactúan con estos archivos adjuntos o enlaces, la carga útil del ransomware se descarga y ejecuta en su sistema.
• Publicidad maliciosa: los anuncios maliciosos en sitios web o redes publicitarias pueden llevar a los usuarios a sitios web que alojan ransomware. Simplemente visitar un sitio web comprometido puede desencadenar la descarga del ransomware en la computadora de la víctima.
• Descargas no autorizadas: los ciberdelincuentes pueden explotar las vulnerabilidades en el software, los complementos o los componentes del navegador para entregar ransomware al sistema de un usuario sin ninguna interacción del usuario. Esto se conoce como descarga oculta.
• Instaladores de software comprometidos: los atacantes pueden infiltrarse en los instaladores de software legítimos y agregar la carga útil del ransomware. Cuando los usuarios descargan e instalan el software de fuentes comprometidas, el ransomware también se instala.
• Ataques de protocolo de escritorio remoto (RDP): los atacantes pueden apuntar a sistemas con conexiones RDP débiles o desprotegidas. Obtienen acceso e instalan ransomware manualmente, o usan herramientas automatizadas para entregar la carga útil de ransomware.
• Macros maliciosas: las macros maliciosas incrustadas en documentos de Microsoft Office se pueden usar para descargar y ejecutar ransomware cuando los usuarios habilitan macros en estos documentos.