Medusa (MedusaLocker) Ransomware

Meduza, qui est un type de ransomware de la famille MedusaLocker, a été identifié lors de notre analyse d'échantillons de logiciels malveillants. Sa fonction principale est de crypter les fichiers, et il ajoute une extension spécifique (telle que « .meduza24 ») aux noms de fichiers tout en générant également une demande de rançon nommée « How_to_back_files.html ».

Pour illustrer, lorsque Meduza crypte des fichiers, il les renomme comme suit : « 1.jpg » devient « 1.jpg.meduza24 », « 2.png » devient « 2.png.meduza24 », et ainsi de suite.

La demande de rançon informe la victime que ses fichiers cruciaux ont été cryptés à l'aide des méthodes de cryptage RSA et AES. Il déconseille fortement toute tentative de récupération de ces fichiers à l'aide d'un logiciel tiers, car cela pourrait entraîner une corruption permanente. Il est également déconseillé de modifier ou de renommer les fichiers cryptés.

Selon la demande de rançon, aucun logiciel disponible en ligne ne peut aider au décryptage, et la seule solution appartient aux attaquants. Ils affirment avoir collecté des données hautement confidentielles et personnelles, stockées sur un serveur privé, qui seront supprimées dès réception du paiement. En cas de non-paiement, les données seraient rendues publiques ou vendues.

La note souligne que les attaquants sont uniquement motivés par le gain financier et n'ont aucune intention de nuire à la réputation ou aux opérations commerciales du destinataire. Pour démontrer leur capacité à décrypter des fichiers, ils proposent de décrypter gratuitement 2 à 3 fichiers moins importants sur demande.

Les informations de contact pour négocier la rançon et obtenir le logiciel de décryptage sont fournies via deux adresses e-mail (ithelp01@securitymy.name et ithelp01@yousheltered.com). La note conseille également de créer un nouveau compte de messagerie gratuit sur protonmail.com pour établir un contact.

Passé un délai de 72 heures, le montant de la rançon augmente si la victime ne parvient pas à contacter les attaquants. De plus, il existe une référence à Tor-chat pour une communication continue.

Note de rançon Meduza dans son intégralité

Le texte complet de la demande de rançon de Meduza se lit comme suit :

VOTRE IDENTIFIANT PERSONNEL :

VOTRE RÉSEAU D'ENTREPRISE A ÉTÉ PÉNÉTRÉ
Tous vos fichiers importants ont été cryptés !

Vos fichiers sont en sécurité ! Seulement modifié. (RSA+AES)

TOUTE TENTATIVE DE RESTAURATION DE VOS FICHIERS AVEC UN LOGICIEL TIERS
LE CORROMPURA DE MANIÈRE PERMANENTE.
NE MODIFIEZ PAS LES FICHIERS CRYPTÉS.
NE RENOMMEZ PAS LES FICHIERS CRYPTÉS.

Aucun logiciel disponible sur Internet ne peut vous aider. Nous sommes les seuls à pouvoir
résolvez votre problème.

Nous avons collecté des données hautement confidentielles/personnelles. Ces données sont actuellement stockées sur
un serveur privé. Ce serveur sera immédiatement détruit après votre paiement.
Si vous décidez de ne pas payer, nous divulguerons vos données au public ou au revendeur.
Vous pouvez donc vous attendre à ce que vos données soient accessibles au public dans un avenir proche.

Nous recherchons uniquement de l'argent et notre objectif n'est pas de nuire à votre réputation ou d'empêcher
votre entreprise de fonctionner.

Vous pourrez nous envoyer 2-3 fichiers non importants et nous les décrypterons gratuitement
pour prouver que nous sommes en mesure de restituer vos fichiers.

Contactez-nous pour connaître le prix et obtenez un logiciel de décryptage.

e-mail:
ithelp01@securitymy.name
ithelp01@yousheltered.com
Pour nous contacter, créez un nouveau compte email gratuit sur le site : protonmail.com
SI VOUS NE NOUS CONTACTEZ PAS DANS LES 72 HEURES, LE PRIX SERA PLUS ÉLEVÉ.

Tor-chat pour être toujours en contact :

Comment un ransomware peut-il infecter votre ordinateur ?

Les ransomwares peuvent infecter votre ordinateur par diverses méthodes et s'appuient souvent sur des tactiques d'ingénierie sociale pour inciter les utilisateurs à lancer l'infection. Voici quelques façons courantes par lesquelles les ransomwares peuvent infecter votre ordinateur :

• Pièces jointes malveillantes : l’une des méthodes les plus courantes consiste à utiliser des e-mails de phishing. Les attaquants envoient des e-mails qui semblent légitimes et peuvent contenir des pièces jointes, telles que des PDF ou des documents Office, avec du code malveillant intégré. Lorsque vous ouvrez la pièce jointe, le ransomware est exécuté.
• Liens malveillants : les e-mails de phishing peuvent également inclure des liens vers des sites Web malveillants. Cliquer sur ces liens peut conduire à des téléchargements inopinés, où le ransomware est automatiquement téléchargé et exécuté à votre insu.
• Fausses mises à jour logicielles : les attaquants peuvent créer de fausses notifications de mises à jour logicielles ou des fenêtres contextuelles qui imitent des mises à jour légitimes pour votre système d'exploitation ou vos logiciels. Si vous téléchargez et installez ces fausses mises à jour, vous pourriez sans le savoir installer un ransomware.
• Logiciels infectés : Parfois, les attaquants compromettent les installateurs de logiciels légitimes et y injectent des ransomwares. Lorsque vous téléchargez et installez ce qui semble être un programme sûr, vous installez par inadvertance un ransomware.
• Publicité malveillante : la publicité malveillante, ou publicité malveillante, implique que les cybercriminels placent des publicités infectées sur des sites Web légitimes. Cliquer sur ces publicités peut vous rediriger vers des sites Web distribuant des ransomwares.
• Attaques du protocole de bureau à distance (RDP) : si votre RDP n'est pas correctement sécurisé, les attaquants peuvent exploiter les vulnérabilités pour accéder à distance à votre ordinateur. Une fois à l’intérieur, ils peuvent installer un ransomware.
• Exploitation des vulnérabilités : les ransomwares peuvent exploiter les vulnérabilités logicielles de votre système d'exploitation ou de vos applications. Garder votre logiciel à jour avec les derniers correctifs de sécurité permet de vous protéger contre cette méthode.
• Ingénierie sociale : les attaquants peuvent usurper l'identité d'entités de confiance, comme le support technique ou des collègues, pour vous inciter à télécharger et à exécuter des fichiers contenant un ransomware.