DoctorHelp Ransomware basé sur MedusaLocker

Notre équipe a découvert DoctorHelp, un logiciel malveillant classé comme ransomware, appartenant à la famille MedusaLocker. L'objectif principal de DoctorHelp est de crypter les fichiers.

De plus, DoctorHelp génère une demande de rançon intitulée « How_to_back_files.html » et ajoute l'extension « .doctorhelp » aux noms de fichiers. Par exemple, il modifie « 1.jpg » en « 1.jpg.doctorhelp » et « 2.png » en « 2.png.doctorhelp », et ainsi de suite. La demande de rançon indique explicitement que les fichiers essentiels appartenant à la victime ont été cryptés. Les cybercriminels assurent à la victime que les fichiers restent intacts mais ont subi des modifications utilisant le cryptage RSA et AES. La note déconseille fortement de tenter de restaurer des fichiers avec un logiciel tiers, affirmant que de telles tentatives entraîneraient une corruption irréversible.

Les acteurs malveillants affirment avoir obtenu des données hautement confidentielles et personnelles actuellement stockées sur un serveur privé. Il semblerait que ce serveur soit détruit immédiatement dès réception du paiement. En l’absence de paiement, la note menace de divulguer les données capturées au public ou à des acheteurs potentiels, ce qui présente un risque imminent d’exposition publique.

De plus, les attaquants proposent un arrangement dans lequel la victime peut envoyer 2 à 3 fichiers non essentiels pour un décryptage gratuit, afin de démontrer leur capacité à restaurer les fichiers contre paiement. La demande de rançon fournit les coordonnées (adresses e-mail doctorhelperss@gmail.com et helpersdoctor@outlook.com) et conseille à la victime de créer un compte de messagerie sur protonmail.com pour communiquer.

Un délai de 72 heures est stipulé, accompagné d'un avertissement indiquant que le fait de ne pas prendre contact dans ce délai entraînera une augmentation de la demande de rançon. Le message se termine par une suggestion d'utiliser Tor-chat pour une communication continue, soulignant l'engagement des criminels à maintenir le contact tout au long du processus de négociation.

DoctorHelp Ransom Note promet le décryptage de quelques fichiers

Le texte intégral de la demande de rançon de DoctorHelp est le suivant :

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Aucun logiciel disponible sur Internet ne peut vous aider. Nous sommes les seuls à pouvoir
résolvez votre problème.

Nous avons collecté des données hautement confidentielles/personnelles. Ces données sont actuellement stockées sur
un serveur privé. Ce serveur sera immédiatement détruit après votre paiement.
Si vous décidez de ne pas payer, nous divulguerons vos données au public ou au revendeur.
Vous pouvez donc vous attendre à ce que vos données soient accessibles au public dans un avenir proche.

Nous recherchons uniquement de l'argent et notre objectif n'est pas de nuire à votre réputation ou d'empêcher
votre entreprise de fonctionner.

Vous pourrez nous envoyer 2-3 fichiers non importants et nous les décrypterons gratuitement
pour prouver que nous sommes en mesure de restituer vos fichiers.

Contactez-nous pour connaître le prix et obtenez un logiciel de décryptage.

e-mail:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
Pour nous contacter, créez un nouveau compte email gratuit sur le site : protonmail.com
SI VOUS NE NOUS CONTACTEZ PAS DANS LES 72 HEURES, LE PRIX SERA PLUS ÉLEVÉ.

Tor-chat pour être toujours en contact :

Comment les criminels distribuent-ils des ransomwares en ligne ?

Les criminels utilisent diverses méthodes pour distribuer des ransomwares en ligne, profitant des vulnérabilités et exploitant le comportement humain. Voici quelques tactiques couramment utilisées par les cybercriminels pour distribuer des ransomwares :

E-mails de phishing :
Les cybercriminels utilisent souvent des e-mails de phishing pour distribuer des ransomwares. Ils envoient des e-mails qui semblent légitimes, imitant souvent des entités ou des services de confiance, et incluent des pièces jointes ou des liens malveillants. Cliquer sur ces pièces jointes ou ces liens peut déclencher le téléchargement et l'exécution d'un ransomware.

Liens et sites Web malveillants :
Les criminels créent des sites Web malveillants ou injectent du code malveillant dans des sites Web légitimes. Les utilisateurs peuvent être dirigés vers ces sites via des e-mails de phishing, des publicités compromises ou d'autres tactiques trompeuses. La visite de ces sites peut conduire au téléchargement et à l’installation automatiques de ransomwares.

Kits d'exploitation :
Les kits d'exploit sont des kits d'outils contenant du code pré-écrit pour exploiter les vulnérabilités des logiciels. Les cybercriminels utilisent ces kits pour cibler les logiciels obsolètes sur le système d'un utilisateur. Lorsqu'un utilisateur visite un site Web compromis ou clique sur un lien malveillant, le kit d'exploitation identifie et exploite les vulnérabilités, permettant ainsi au ransomware d'être livré et exécuté.

Publicité malveillante :
La publicité malveillante consiste à placer un code malveillant dans des publicités en ligne. Lorsque les utilisateurs cliquent sur ces publicités ou visitent des sites Web qui les hébergent, le code malveillant peut exploiter les vulnérabilités du navigateur ou des plug-ins de l'utilisateur pour diffuser un ransomware.

Ingénierie sociale:
Les cybercriminels utilisent des techniques d'ingénierie sociale pour manipuler les utilisateurs afin qu'ils prennent des mesures menant à une infection par ransomware. Cela peut impliquer d'inciter les utilisateurs à télécharger et à exécuter des fichiers malveillants ou à cliquer sur des liens grâce à des tactiques trompeuses, telles que de fausses alertes, avertissements ou offres alléchantes.