Deep Ransomware verrouillera votre système
En examinant les récentes soumissions de fichiers, nos chercheurs sont tombés sur un programme de ransomware connu sous le nom de Deep, qui appartient à la famille des ransomwares Phobos. Deep (Phobos) fonctionne en cryptant les données puis en exigeant un paiement en échange de la clé de décryptage.
Sur notre système de test, ce ransomware a crypté les fichiers et modifié leurs noms. Les noms de fichiers d'origine ont été étendus avec un identifiant unique attribué à la victime, l'adresse e-mail des cybercriminels et une extension « .deep ». À titre d'exemple, un fichier nommé à l'origine « 1.jpg » apparaîtrait sous la forme « 1.jpg.id[9ECFA84E-3352].[captain-america@tuta.io].deep ».
Une fois le processus de cryptage terminé, les notes de rançon ont été créées et affichées à la fois dans une fenêtre contextuelle intitulée « info.hta » et dans un fichier texte nommé « info.txt ».
Le fichier texte associé au ransomware Deep (Phobos) indique que les fichiers de la victime ont été cryptés et les invite à contacter les attaquants pour obtenir de l'aide au décryptage.
La fenêtre contextuelle fournit des informations supplémentaires sur l'infection par le ransomware, expliquant que la récupération des données ne peut être obtenue qu'en payant une rançon en crypto-monnaie Bitcoin. Avant d'effectuer le paiement, la victime a la possibilité de tester le processus de décryptage en envoyant aux cybercriminels jusqu'à trois fichiers cryptés, selon certaines spécifications.
La note se termine par des avertissements contre le fait de renommer les fichiers cryptés ou de tenter d'utiliser un logiciel de récupération tiers, car cela pourrait entraîner une perte permanente de données. De plus, solliciter l’aide de tiers pourrait entraîner une augmentation des pertes financières.
La note Deep Ransomware utilise le modèle Phobos
Le texte complet de la demande de rançon générée par le ransomware Deep se lit comme suit :
Tous vos fichiers ont été cryptés !
Tous vos fichiers ont été cryptés en raison d'un problème de sécurité avec votre PC. Si vous souhaitez les restaurer, écrivez-nous à l'e-mail capitaine-america@tuta.io
Écrivez cet identifiant dans le titre de votre message -
Si vous ne recevez pas de réponse dans les 24 heures, veuillez nous contacter via le compte Telegram.org : @HostUppp
Vous devez payer pour le décryptage en Bitcoins. Le prix dépend de la rapidité avec laquelle vous nous écrivez. Après paiement, nous vous enverrons l'outil qui décryptera tous vos fichiers.Décryptage gratuit en garantie
Avant de payer, vous pouvez nous envoyer jusqu'à 3 fichiers pour un décryptage gratuit. La taille totale des fichiers doit être inférieure à 4 Mo (non archivés) et les fichiers ne doivent pas contenir d'informations précieuses. (bases de données, sauvegardes, grandes feuilles Excel, etc.)Comment obtenir des Bitcoins
Le moyen le plus simple d’acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur « Acheter des bitcoins » et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d’autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de décrypter vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte permanente de données.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation de prix (ils ajoutent leurs frais aux nôtres) ou vous pouvez devenir victime d'une arnaque.
Comment un ransomware comme Deep peut-il s’installer sur votre système ?
Les ransomwares comme Deep peuvent infiltrer votre système par divers moyens, exploitant souvent des vulnérabilités ou utilisant des tactiques d'ingénierie sociale. Voici quelques façons courantes par lesquelles les ransomwares peuvent s’introduire sur votre système :
- E-mails de phishing : les cybercriminels envoient des e-mails convaincants mais malveillants qui semblent provenir de sources fiables. Ces e-mails peuvent contenir des pièces jointes ou des liens qui, une fois ouverts, exécutent le code du ransomware sur votre système.
- Sites Web malveillants : la visite de sites Web compromis ou malveillants peut déclencher des téléchargements intempestifs, où un ransomware est automatiquement téléchargé et exécuté sur votre système à votre insu.
- Logiciels ou fichiers infectés : le téléchargement de logiciels ou de fichiers à partir de sources non fiables, en particulier de logiciels piratés ou piratés, augmente le risque d'infection par un ransomware. Ces fichiers peuvent contenir des logiciels malveillants cachés.
- Exploitation des vulnérabilités : les ransomwares peuvent tirer parti des vulnérabilités logicielles de votre système d'exploitation ou de vos applications. Le fait de ne pas mettre à jour votre logiciel et d'appliquer des correctifs de sécurité rend votre système vulnérable à de telles attaques.
- Attaques du protocole de bureau à distance (RDP) : si vous avez activé RDP et que vous utilisez des mots de passe faibles ou faciles à deviner, les attaquants peuvent accéder à votre système à distance et installer un ransomware.
- Publicité malveillante : les cybercriminels peuvent placer des publicités malveillantes sur des sites Web légitimes. Cliquer sur ces publicités ou même simplement visiter un site compromis peut entraîner une infection par un ransomware.
- Ingénierie sociale : les attaquants peuvent usurper l'identité du personnel d'assistance technique ou d'autres personnes dignes de confiance pour vous inciter à télécharger ou à exécuter un ransomware.
- USB et supports amovibles : les logiciels malveillants peuvent se propager via des clés USB infectées ou d'autres supports amovibles. Brancher un appareil infecté peut introduire un ransomware dans votre système.
