6y8dghklp Ransomware crypte les fichiers

Nos chercheurs ont découvert le ransomware 6y8dghklp en examinant les soumissions récentes. Ce logiciel malveillant appartient à la famille des ransomwares Phobos.

Sur notre système de test, le ransomware 6y8dghklp a crypté les fichiers et modifié leurs noms de fichiers. Il a ajouté aux noms d'origine un identifiant unique attribué à la victime, l'adresse e-mail des cybercriminels, et a ajouté une extension « .6y8dghklp ». A titre d'illustration, un fichier initialement intitulé « 1.jpg » serait transformé en « 1.jpg.id[9ECFA84E-3481].[datarecoverycenterOPG@onionmail.org].6y8dghklp » après le processus de chiffrement.

Une fois le cryptage terminé, les demandes de rançon ont été présentées via une fenêtre contextuelle nommée « info.hta » et un fichier texte nommé « info.txt ». La demande de rançon contenue dans le fichier texte informe simplement la victime que ses données ont été cryptées et l'encourage à contacter les attaquants pour les décrypter.

Le message dans la fenêtre contextuelle fournit plus de détails sur l'attaque du ransomware. Il précise clairement que la récupération de fichiers nécessite le paiement d’une rançon en cryptomonnaie Bitcoin. Avant d'effectuer le paiement, la victime a la possibilité de tester le décryptage en envoyant jusqu'à cinq fichiers verrouillés aux cybercriminels (avec certaines spécifications).

La note se termine par des avertissements. La victime est avertie que renommer les fichiers concernés ou utiliser un logiciel tiers peut entraîner une perte permanente de données. De plus, demander l’aide de tiers peut exposer la victime à des escroqueries potentielles et à une perte financière accrue.

Note de rançon 6y8dghklp dans son intégralité

Le texte complet de la demande de rançon générée par le ransomware 6y8dghklp se lit comme suit :

Tous vos fichiers ont été cryptés !

Tous vos fichiers ont été cryptés en raison d'un problème de sécurité avec votre PC. Si vous souhaitez les restaurer, écrivez-nous à l'e-mail datarecoverycenterOPG@onionmail.org
Écrivez cet identifiant dans le titre de votre message -
En cas de non réponse dans les 24 heures écrivez-nous à cet e-mail :datarecoverycenterOPG2023@onionmail.org
Vous devez payer pour le décryptage en Bitcoins. Le prix dépend de la rapidité avec laquelle vous nous écrivez. Après paiement, nous vous enverrons l'outil qui décryptera tous vos fichiers.

Décryptage gratuit en garantie
Avant de payer, vous pouvez nous envoyer jusqu'à 5 fichiers pour un décryptage gratuit. La taille totale des fichiers doit être inférieure à 4 Mo (non archivés) et les fichiers ne doivent pas contenir d'informations précieuses. (bases de données, sauvegardes, grandes feuilles Excel, etc.)

Comment obtenir des Bitcoins
Le moyen le plus simple d’acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur « Acheter des bitcoins » et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d’autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de décrypter vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte permanente de données.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation de prix (ils ajoutent leurs frais aux nôtres) ou vous pouvez devenir victime d'une arnaque.

Quels sont les vecteurs d’infection les plus courants pour les ransomwares ?

Les ransomwares peuvent infiltrer les systèmes informatiques via divers vecteurs d’infection. Bien que les tactiques utilisées par les cybercriminels évoluent continuellement, certains vecteurs d'infection courants pour les ransomwares incluent :

E-mails de phishing : les e-mails de phishing restent l’un des moyens les plus répandus de diffusion de ransomwares. Les cybercriminels envoient des e-mails trompeurs contenant des pièces jointes ou des liens malveillants. Lorsque les destinataires ouvrent ces pièces jointes ou cliquent sur les liens, des ransomwares peuvent être exécutés sur leurs systèmes.
Pièces jointes malveillantes : les ransomwares peuvent être cachés dans les pièces jointes des e-mails telles que les PDF, les documents Word, les fichiers Excel ou les archives ZIP. Ces pièces jointes contiennent souvent des macros ou des scripts malveillants qui, lorsqu'ils sont activés, déclenchent l'infection par le ransomware.
Téléchargements drive-by : la visite de sites Web compromis ou malveillants peut entraîner des téléchargements drive-by. Celles-ci se produisent lorsqu'un logiciel malveillant est automatiquement téléchargé et installé sur votre système à votre insu ou sans votre consentement, simplement en visitant un site Web compromis.
Publicité malveillante : la publicité malveillante (malvertising) implique que les cybercriminels placent des publicités infectées sur des sites Web légitimes. Cliquer sur ces publicités peut entraîner des infections par ransomware.
Ingénierie sociale : les cybercriminels utilisent des techniques d'ingénierie sociale pour manipuler les individus afin qu'ils prennent des mesures spécifiques. Par exemple, ils peuvent usurper l’identité d’une entité de confiance ou d’une figure d’autorité, incitant les victimes à exécuter un code malveillant ou à fournir des informations de connexion.
Exploiter les vulnérabilités des logiciels : les ransomwares peuvent exploiter les vulnérabilités des applications logicielles, y compris le système d'exploitation et d'autres logiciels. Si vous ne maintenez pas votre logiciel à jour avec les correctifs de sécurité, vous devenez plus vulnérable à ces attaques.
Attaques RDP (Remote Desktop Protocol) : les cybercriminels peuvent utiliser des attaques par force brute ou des informations d'identification volées pour obtenir un accès non autorisé aux systèmes via RDP. Une fois à l’intérieur, ils peuvent déployer un ransomware.
Liens malveillants : les ransomwares peuvent être diffusés via des liens contenus dans des e-mails, des messages instantanés ou sur des plateformes de réseaux sociaux. Cliquer sur ces liens peut conduire au téléchargement et à l’exécution d’un ransomware.
Logiciels ou téléchargements infectés : le téléchargement de logiciels ou de fichiers à partir de sources non fiables, en particulier des logiciels piratés, du contenu piraté ou des torrents, peut introduire un ransomware sur votre système.
Exploiter les vulnérabilités du réseau : les ransomwares peuvent se propager au sein d'un réseau si un ordinateur est infecté. Une sécurité réseau faible et une segmentation insuffisante du réseau peuvent permettre aux ransomwares de se déplacer latéralement et d’infecter plusieurs appareils.