3AM Ransomware verrouille les fichiers des victimes

3AM est un programme ransomware codé dans le langage de programmation Rust. Son objectif principal est de crypter des fichiers. Une fois le processus de cryptage terminé, il tente d'effacer les copies Volume Shadow (VSS). De plus, 3AM ajoute l'extension « .troisamtime » aux noms de fichiers cryptés et présente un message de rançon nommé « RECOVER-FILES.txt ».

Pour illustrer comment 3AM modifie les noms de fichiers, il transforme « 1.jpg » en « 1.jpg.troisamtime », « 2.png » en « 2.png.troisamtime », et ainsi de suite. La demande de rançon contenue dans le fichier « RECOVER-FILES.txt » informe les victimes que leurs fichiers ont été cryptés et que leurs systèmes peuvent sembler non opérationnels et que les sauvegardes ne sont plus accessibles. La note déconseille fortement de tenter une auto-restauration, soulignant le risque de perte supplémentaire de données et de dommages irrécupérables.

En outre, la note révèle que des données sensibles d'un réseau local ont été volées, notamment des dossiers financiers, des détails personnels, des documents liés au travail, etc., avec une garantie de confidentialité pour éviter tout préjudice aux entreprises. La note suggère d'entamer des négociations pour empêcher la vente de données sur le dark web, en fournissant des informations de contact via le navigateur Tor et en faisant référence à une clé d'accès pour la négociation.

La note de rançon à 3 heures du matin ne mentionne aucune somme de rançon

Le texte complet de la demande de rançon à 3 heures du matin est le suivant :

Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of life", the backups disappeared. But we can correct this very quickly and return all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their damage and the impossibility of recovery. We are not recommended to you to do it on our own!!! (or do at your own peril and risk).

There is another important point: we stole a fairly large amount of sensitive data from your local network: financial documents; personal information of your employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business. Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.

Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how they will be used.

Please contact us as soon as possible, using Tor-browser:

Access key:

Comment les ransomwares comme 3AM sont-ils distribués ?

Les ransomwares comme 3AM sont généralement distribués via diverses méthodes et vecteurs d'attaque. Voici quelques méthodes de distribution courantes :

• E-mails de phishing : les cybercriminels utilisent souvent des e-mails de phishing pour distribuer des ransomwares. Ils envoient des e-mails malveillants qui semblent légitimes, se faisant souvent passer pour des entités de confiance ou utilisant des lignes d'objet attrayantes. Ces e-mails contiennent des pièces jointes ou des liens malveillants qui, lorsqu'ils sont cliqués ou ouverts, téléchargent et exécutent le ransomware sur l'appareil de la victime.
• Pièces jointes malveillantes : les ransomwares peuvent se propager via des pièces jointes de courrier électronique, telles que des documents infectés (par exemple, des fichiers Word ou PDF) ou des fichiers exécutables (par exemple, des fichiers .exe ou .js). Lorsque la victime ouvre ces pièces jointes, la charge utile du ransomware est activée.
• Publicité malveillante : des publicités malveillantes (malvertising) sur des sites Web ou des publicités en ligne peuvent diriger les utilisateurs vers des sites Web hébergeant des kits d'exploitation. Ces kits peuvent tirer parti des vulnérabilités du navigateur Web ou des plug-ins de la victime pour diffuser un ransomware.
• Téléchargements drive-by : les cybercriminels peuvent compromettre des sites Web légitimes et y injecter du code malveillant. Lorsque les utilisateurs visitent ces sites compromis, leurs appareils peuvent être infectés sans aucune interaction requise.
• Attaques RDP (Remote Desktop Protocol) : si RDP est activé et n'est pas correctement sécurisé sur le système d'une victime, les attaquants peuvent tenter d'y accéder en devinant des mots de passe faibles ou en utilisant des attaques par force brute. Une fois à l’intérieur, ils peuvent déployer manuellement un ransomware.
• Vulnérabilités logicielles : les auteurs de ransomwares peuvent exploiter des vulnérabilités connues dans les systèmes d'exploitation ou les logiciels pour accéder au système d'une victime. Garder les logiciels et les systèmes à jour avec les correctifs de sécurité peut aider à atténuer ce risque.
• Liens malveillants : les cybercriminels peuvent également distribuer des ransomwares via des tactiques d'ingénierie sociale sur les réseaux sociaux, les plateformes de messagerie instantanée ou en incitant les utilisateurs à cliquer sur des liens malveillants.
• USB et supports amovibles : les ransomwares peuvent se propager via des clés USB infectées ou d'autres supports amovibles. Lorsqu'un utilisateur insère un lecteur infecté dans son ordinateur, le ransomware peut s'exécuter et commencer à chiffrer les fichiers.