Ebaka Ransomware est basé sur le code Phobos

Lors de l'examen d'échantillons de logiciels malveillants récents, notre équipe de recherche a découvert le ransomware Ebaka, qui fait partie de la famille des ransomwares Phobos. Ebaka a été conçu pour crypter des fichiers et exige un paiement en échange de leur décryptage.

Sur notre système de test, ce logiciel malveillant a altéré les fichiers par cryptage, modifiant ainsi leurs noms de fichiers. Les titres originaux ont été complétés par un identifiant distinctif attribué à la victime, l'adresse e-mail des cybercriminels et une extension « .ebaka ». Par exemple, un fichier initialement nommé « 1.jpg » a été transformé en « 1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka ».

Une fois ce processus terminé, Ebaka a généré des notes de rançon et les a placées sur le bureau et dans tous les répertoires cryptés. Une note apparaissait sous la forme d'une fenêtre contextuelle ("info.hta"), tandis que l'autre était un fichier texte ("info.txt"). Le fichier texte transmet le message selon lequel les fichiers de la victime ont été cryptés et l'invite à contacter les attaquants pour les décrypter.

Le contenu de la demande de rançon affiché dans la fenêtre contextuelle fournit des détails supplémentaires sur l'infection, précisant que le décryptage nécessite le paiement d'une rançon en crypto-monnaie Bitcoin. Apparemment, le montant du paiement dépend de la rapidité avec laquelle la victime établit le contact avec les cybercriminels.

Avant de se conformer aux demandes de rançon, la victime a la possibilité de tester le décryptage en envoyant aux attaquants jusqu'à cinq fichiers cryptés, sous réserve de certaines limitations. Le message met également en garde contre la modification des fichiers verrouillés ou l'utilisation d'outils de décryptage tiers, car de telles actions peuvent entraîner une perte permanente de données. De plus, la victime est avertie que le recours à l’aide de tiers pourrait aggraver les pertes financières.

Note de rançon Ebaka dans son intégralité

Le texte complet de la demande de rançon d’Ebaka se lit comme suit :

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Décryptage gratuit en garantie
Avant de payer, vous pouvez nous envoyer jusqu'à 5 fichiers pour un décryptage gratuit. La taille totale des fichiers doit être inférieure à 4 Mo (non archivés) et les fichiers ne doivent pas contenir d'informations précieuses. (bases de données, sauvegardes, grandes feuilles Excel, etc.)

Comment obtenir des Bitcoins
Le moyen le plus simple d’acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur « Acheter des bitcoins » et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d’autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de décrypter vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte permanente de données.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation de prix (ils ajoutent leurs frais aux nôtres) ou vous pouvez devenir victime d'une arnaque.

Comment un ransomware peut-il infecter votre ordinateur ?

Les ransomwares peuvent infecter votre ordinateur de diverses manières, et les attaquants utilisent souvent des tactiques d'ingénierie sociale pour inciter les utilisateurs à télécharger ou à exécuter du code malveillant. Voici quelques méthodes courantes par lesquelles les ransomwares peuvent infecter un ordinateur :

E-mails de phishing :
Pièces jointes aux e-mails : les cybercriminels envoient souvent des e-mails de phishing contenant des pièces jointes malveillantes, telles que des documents Word ou des fichiers PDF infectés. Lorsque l'utilisateur ouvre la pièce jointe, le ransomware est exécuté.
Liens malveillants : les e-mails de phishing peuvent contenir des liens vers de faux sites Web hébergeant des ransomwares. Cliquer sur ces liens peut déclencher le téléchargement et l'installation du ransomware sur votre ordinateur.

Les sites Web malveillants:
La visite de sites Web compromis ou malveillants peut exposer votre ordinateur à des téléchargements intempestifs, où des logiciels malveillants, y compris des ransomwares, sont automatiquement téléchargés et exécutés à votre insu.

Publicité malveillante :
Les cybercriminels peuvent compromettre les réseaux publicitaires en ligne légitimes et placer des publicités malveillantes (publicités malveillantes) sur des sites Web. Cliquer sur ces publicités peut conduire au téléchargement d’un ransomware.

Kits d'exploitation :
Les kits d'exploitation sont des kits d'outils malveillants qui exploitent les vulnérabilités des logiciels ou des navigateurs. Si votre système n'est pas à jour avec les derniers correctifs de sécurité, un kit d'exploitation peut exploiter ces vulnérabilités pour diffuser un ransomware.

Attaques du protocole de bureau à distance (RDP) :
Les attaquants peuvent tenter d'obtenir un accès non autorisé à votre ordinateur en exploitant des mots de passe faibles ou par défaut sur le protocole Remote Desktop. Une fois à l’intérieur, ils peuvent déployer un ransomware.