Dx31 Ransomware est une variante de Phobos

Lors de notre analyse de nouveaux échantillons de fichiers malveillants, nous avons identifié Dx31 comme un ransomware appartenant à la famille Phobos. Lors de l'activation, Dx31 crypte les données, modifie les noms de fichiers de tous les fichiers cryptés et présente deux notes de rançon ("info.hta" et "info.txt").

Dx31 ajoute l'identifiant de la victime, une adresse e-mail et l'extension « .dx31 » aux noms de fichiers. Par exemple, il transforme « 1.jpg » en « 1.jpg.id[9ECFA84E-3449].[dx31@mail.com].dx31 », et « 2.png » en « 2.png.id[9ECFA84E- 3449].[dx31@mail.com].dx31".

La demande de rançon suit un modèle commun associé aux attaques de ransomware, informant la victime du cryptage des fichiers en raison d'un prétendu problème de sécurité avec son ordinateur. Le message demande à la victime de contacter les attaquants par e-mail à l'adresse dx31@mail.com, en soulignant l'inclusion d'un identifiant spécifique dans l'objet de l'e-mail.

Alternativement, une autre adresse e-mail (dx31@usa.com) est fournie pour nous contacter en cas d'absence de réponse dans les 24 heures. La demande de paiement en Bitcoins pour le décryptage des fichiers est présente, le montant de la rançon restant indéterminé, dépendant de la rapidité de réponse de la victime.

Pour établir leur crédibilité, les attaquants proposent de décrypter jusqu'à 5 fichiers gratuitement, avec des conditions liées à la taille et au contenu des fichiers. La note fournit également des conseils sur l'obtention de Bitcoins et met en garde contre le fait de renommer des fichiers cryptés ou d'utiliser des services de décryptage tiers pour éviter des escroqueries potentielles ou une augmentation des frais de rançon.

Note de rançon Dx31 dans son intégralité

Le texte intégral de la demande de rançon Dx31 se lit comme suit :

Tous vos fichiers ont été cryptés !
Tous vos fichiers ont été cryptés en raison d'un problème de sécurité avec votre PC. Si vous souhaitez les restaurer, écrivez-nous à l'e-mail dx31@mail.com
Écrivez cet identifiant dans le titre de votre message -
En cas de non réponse dans les 24 heures écrivez-nous à cet e-mail :dx31@usa.com
Vous devez payer pour le décryptage en Bitcoins. Le prix dépend de la rapidité avec laquelle vous nous écrivez. Après paiement, nous vous enverrons l'outil qui décryptera tous vos fichiers.
Décryptage gratuit en garantie
Avant de payer, vous pouvez nous envoyer jusqu'à 5 fichiers pour un décryptage gratuit. La taille totale des fichiers doit être inférieure à 4 Mo (non archivés) et les fichiers ne doivent pas contenir d'informations précieuses. (bases de données, sauvegardes, grandes feuilles Excel, etc.)
Comment obtenir des Bitcoins
Le moyen le plus simple d’acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur « Acheter des bitcoins » et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d’autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de décrypter vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte permanente de données.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation de prix (ils ajoutent leurs frais aux nôtres) ou vous pouvez devenir victime d'une arnaque.

Qu'est-ce que la famille Phobos de variantes de ransomware ?

La famille Phobos est un groupe de variantes de ransomwares connues pour leurs activités malveillantes consistant à crypter des fichiers sur les ordinateurs des victimes et à exiger une rançon pour le décryptage. Voici les principales caractéristiques de la famille de rançongiciels Phobos :

Cryptage de fichiers : comme d'autres variantes de ransomware, Phobos crypte les fichiers sur le système d'une victime, les rendant inaccessibles. Les types de fichiers courants tels que les documents, les images, les vidéos, etc. sont ciblés.

Notes de rançon : Après avoir crypté les fichiers, Phobos laisse généralement des notes de rançon sur le système de la victime. Ces notes contiennent des instructions sur la manière de contacter les attaquants, des détails sur le paiement de la rançon et incluent parfois l'identifiant unique de la victime ou d'autres identifiants.

Canaux de communication : Phobos établit souvent des canaux de communication via les adresses e-mail fournies dans les notes de rançon. Les victimes sont invitées à contacter ces adresses e-mail pour négocier le paiement et recevoir des instructions sur la façon de décrypter leurs fichiers.

Variantes et évolutions : La famille Phobos peut avoir plusieurs variantes ou évoluer au fil du temps avec de nouvelles fonctionnalités ou tactiques. Ces variantes peuvent présenter des similitudes dans leurs fonctionnalités de base, mais peuvent différer en termes d'algorithmes de cryptage, de contenu des demandes de rançon ou de méthodes de distribution.

Paiement en crypto-monnaie : comme de nombreuses souches de ransomwares, Phobos exige généralement un paiement en crypto-monnaie, généralement Bitcoin. En effet, les crypto-monnaies offrent un certain degré d’anonymat aux attaquants lors des transactions financières.

Attaques ciblées : les attaques Phobos peuvent être aveugles et affecter des individus, des entreprises ou des organisations. Les attaquants peuvent utiliser diverses méthodes de distribution, telles que des e-mails de phishing, des kits d'exploitation ou des vulnérabilités logicielles, pour infecter les systèmes.

Double extorsion : certaines versions de Phobos, comme d’autres souches de ransomwares modernes, se livrent à des tactiques de double extorsion. En plus de chiffrer les fichiers, les attaquants peuvent menacer de divulguer des informations sensibles à moins que la rançon ne soit payée, ajoutant ainsi une pression supplémentaire sur les victimes.