Mango Ransomware est basé sur Phobos

Le ransomware Mango, programme malveillant identifié par nos chercheurs, appartient à la famille des ransomwares Phobos. Mango fonctionne en cryptant les fichiers et en exigeant un paiement pour leur décryptage.

Lors de l'exécution d'un échantillon de ce ransomware sur notre machine de test, il a procédé au cryptage des fichiers et à la modification de leurs noms de fichiers. Les titres des fichiers originaux ont été complétés par un identifiant unique attribué à la victime, l'adresse e-mail du cybercriminel et une extension « .mango ». Par exemple, un fichier nommé « 1.jpg » a été transformé en « 1.jpg.id[9ECFA84E-3316].[duckjahana@onionmail.com].mango ».

Une fois le processus de cryptage terminé, deux demandes de rançon ont été générées. L'un était présenté dans une fenêtre contextuelle intitulée « info.hta » et l'autre était un fichier texte nommé « info.txt », déposé sur le bureau et dans tous les répertoires cryptés.

Le message contenu dans le fichier texte indique que les fichiers sont désormais inaccessibles car ils ont été cryptés et invite la victime à contacter les attaquants pour le décryptage des données.

La fenêtre contextuelle fournit plus de détails sur l'infection par le ransomware, précisant que la récupération des fichiers nécessite le paiement d'une rançon. Le montant dépendrait de la rapidité avec laquelle la victime contacte les cybercriminels, et le paiement doit être effectué en crypto-monnaie Bitcoin.

Avant de se conformer aux demandes de rançon, la victime a la possibilité de tester le processus de décryptage sur trois fichiers concernés, sous réserve de certaines spécifications. La victime est explicitement mise en garde contre la modification des fichiers verrouillés, l'utilisation d'outils de décryptage tiers ou la recherche de l'aide de tiers.

La note de rançon Mango copie la mise en page Phobos

Le texte intégral de la demande de rançon de Mango se lit comme suit :

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail: duckjahana@onionmail.com
Write this ID in the title of your message -
Or text in the messenger Telegram: @santasupp
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

Comment obtenir des Bitcoins
Le moyen le plus simple d’acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur « Acheter des bitcoins » et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d’autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de décrypter vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte permanente de données.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation de prix (ils ajoutent leurs frais aux nôtres) ou vous pouvez devenir victime d'une arnaque.

Comment pouvez-vous mieux protéger vos données contre les ransomwares ?

La protection de vos données contre les ransomwares implique la mise en œuvre d'une combinaison de mesures préventives et de pratiques proactives. Voici quelques stratégies efficaces pour protéger vos données contre les attaques de ransomwares :

Sauvegardes régulières :
Effectuez des sauvegardes régulières et automatisées de vos données importantes. Assurez-vous que les sauvegardes sont stockées dans un emplacement qui n'est pas directement accessible depuis votre réseau principal pour empêcher les ransomwares de les affecter.

Sauvegardes hors ligne :
Conservez des sauvegardes hors ligne en plus des sauvegardes en ligne. Cela peut inclure des disques durs externes ou un stockage cloud hors ligne. Étant donné que les ransomwares ciblent généralement le stockage connecté et accessible au réseau, les sauvegardes hors ligne sont moins vulnérables aux attaques.

Mettre régulièrement à jour le logiciel :
Assurez-vous que votre système d'exploitation, votre logiciel antivirus et toutes les applications sont à jour avec les derniers correctifs de sécurité. Des mises à jour régulières contribuent à vous protéger contre les vulnérabilités connues que les ransomwares pourraient exploiter.

Entrainement d'employé:
Offrez une formation en cybersécurité aux employés pour qu'ils reconnaissent les e-mails de phishing, les pièces jointes malveillantes et autres tactiques d'ingénierie sociale utilisées par les attaquants. La sensibilisation peut empêcher les utilisateurs de lancer par inadvertance des infections par ransomware.

Utilisez un logiciel de sécurité robuste :
Installez un logiciel antivirus et anti-malware réputé sur tous les appareils. Gardez ces programmes à jour pour garantir qu'ils peuvent détecter et atténuer les nouvelles menaces, y compris les variantes évolutives des ransomwares.

Segmentation du réseau :
Mettez en œuvre la segmentation du réseau pour limiter le mouvement latéral des logiciels malveillants au sein de votre réseau. Cela permet de contenir l’impact d’une infection potentielle par un ransomware et d’empêcher sa propagation aux systèmes critiques.