Datah Ransomware est un clone de Makop

En analysant de nouveaux échantillons de logiciels malveillants, nous sommes tombés sur une variante de ransomware affiliée à la famille Makop, connue sous le nom de Datah. Ce ransomware crypte les fichiers et génère une demande de rançon nommée « +README-WARNING+.txt », contenant les coordonnées et les instructions. De plus, Datah modifie les noms de fichiers.

Datah modifie les noms de fichiers en ajoutant l'identifiant de la victime, l'adresse e-mail datahelper@onionmail.org et l'extension ".datah". Par exemple, il remplace "1.jpg" par "1.jpg.[2AF20FA3].[datahelper@onionmail.org].datah" et "2.png" par "2.png.[2AF20FA3].[datahelper@ onionmail.org].datah", et ainsi de suite.

La demande de rançon informe la victime du cryptage de ses fichiers mais garantit que la structure des fichiers reste inchangée. Il souligne que la récupération n’est possible qu’en payant la rançon aux acteurs malveillants responsables du cryptage. Les cybercriminels proposent une démonstration de leur capacité de décryptage en permettant à la victime de décrypter deux petits fichiers à titre de test.

Les coordonnées sont fournies via une adresse e-mail (datahelper@onionmail.org) et un identifiant TOX. La note se termine par un avertissement fort contre toute tentative de modification indépendante des fichiers cryptés, avertissant que toute modification pourrait entraîner une perte de données et la perte permanente de la clé privée de décryptage, laissant à la victime des données irrécupérables.

Datah produit une longue note de rançon

Le texte intégral de la longue demande de rançon générée par Datah se lit comme suit :

Greetings

Little FAQ:

1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc… not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

4.
Q: How to contact with you?
A: You can write us to our mailbox: datahelper@onionmail.org
Or you can contact us via TOX: B99CB0C13B44E2A1AEBAEB28E70371D6E3DB35DA801721930B53B0E787433270665DA610BAB0
You can download TOX: hxxps://qtox.github.io/

5.
Q: How will the decryption process proceed after payment?
A: After payment we will send to you our scanner-decoder program and detailed instructions for use. With this program you will be able to decrypt all your encrypted files.

6.
Q: If I don t want to pay bad people like you?
A: If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause only we have the private key. In practice - time is much more valuable than money.

BEWARE
DON'T try to change encrypted files by yourself!
If you will try to use any third party software for restoring your data or antivirus solutions - please make a backup for all encrypted files!
Any changes in encrypted files may entail damage of the private key and, as result, the loss all data.

Quels sont les meilleurs moyens de protéger vos données contre les attaques de ransomwares ?

La protection de vos données contre les attaques de ransomwares est cruciale pour protéger vos informations personnelles et professionnelles. Voici quelques-unes des meilleures pratiques pour aider à atténuer le risque de ransomware :

Sauvegardes régulières : effectuez des sauvegardes régulières de vos données importantes sur un stockage hors ligne ou basé sur le cloud. Cela garantit que même si vos fichiers sont cryptés par un ransomware, vous pouvez les restaurer à partir d'une sauvegarde sans avoir à payer de rançon.

Mise à jour du logiciel : gardez votre système d'exploitation, votre logiciel antivirus et toutes vos applications à jour avec les derniers correctifs et mises à jour de sécurité. Les vulnérabilités des logiciels obsolètes peuvent être exploitées par des attaquants de ransomware.

Éduquer les employés : offrez une formation complète de sensibilisation à la cybersécurité aux employés pour les aider à reconnaître les e-mails de phishing, les liens malveillants et autres vecteurs d'attaque potentiels de ransomware. Encouragez une culture de scepticisme à l’égard des courriels et des pièces jointes non sollicités.

Utilisez des logiciels antivirus et antimalware : installez des logiciels antivirus et antimalware réputés sur tous les appareils et assurez-vous qu’ils sont régulièrement mis à jour. Ces outils peuvent aider à détecter et à prévenir les infections par ransomware.

Mettre en œuvre des mesures de sécurité réseau : utilisez des pare-feu, des systèmes de détection d'intrusion et d'autres mesures de sécurité réseau pour surveiller et vous protéger contre les accès non autorisés et les activités malveillantes sur votre réseau.

Restreindre les autorisations des utilisateurs : limitez les autorisations des utilisateurs à celles nécessaires à leur rôle professionnel. Cela peut aider à empêcher les ransomwares de se propager latéralement sur votre réseau dans le cas où le système d'un utilisateur serait compromis.

Activer le filtrage des e-mails : mettez en œuvre des solutions de filtrage des e-mails pour bloquer les e-mails de phishing et les pièces jointes malveillantes avant qu'ils n'atteignent les boîtes de réception des utilisateurs. Cela peut réduire considérablement le risque d’infection par ransomware par courrier électronique.

Désactivez le protocole RDP (Remote Desktop Protocol) : si cela n'est pas nécessaire pour les opérations commerciales, envisagez de désactiver RDP ou de mettre en œuvre des mesures de sécurité supplémentaires telles que l'authentification multifacteur pour empêcher tout accès non autorisé via RDP.