ReadText Ransomware chiffrera vos disques

Notre équipe de recherche a découvert le ransomware ReadText lors de notre examen des nouvelles soumissions. Ce logiciel malveillant appartient à la famille des ransomwares MedusaLocker.

ReadText fonctionne d'une manière typique d'un ransomware. Il a chiffré les fichiers sur notre machine de test, en ajoutant une extension « .readtext4 » aux noms de fichiers d'origine. Le numéro spécifique utilisé dans la génération fine des extensions peut varier en fonction de la variante du ransomware. Par exemple, un fichier initialement nommé « 1.jpg » serait transformé en « 1.jpg.readtext4 » et « 2.png » en « 2.png.readtext4 », et ainsi de suite.

Par la suite, il a déposé un message de rançon nommé « How_to_back_files.html ». Il ressort clairement de ce message que ReadText cible les entreprises et utilise des tactiques de double extorsion.

La note associée au ransomware ReadText indique que le réseau d'entreprise de la victime a été compromis. Des fichiers critiques ont été cryptés et des données sensibles ou personnelles ont été volées.

Le message déconseille de modifier les noms de fichiers cryptés ou de tenter une récupération à l'aide d'outils de décryptage tiers, car de telles actions rendraient les données irrécupérables.

La victime est informée de la nécessité de payer une rançon. Le non-respect de cette règle entraînera la fuite ou la vente des données exfiltrées. De plus, retarder le contact de plus de 72 heures entraînera une augmentation du montant de la rançon. Avant d'effectuer le paiement, la victime a la possibilité de tester le processus de décryptage en envoyant aux attaquants deux à trois fichiers cryptés.

La note de rançon ReadText menace les fuites de données

Le texte intégral de la demande de rançon ReadText est le suivant :

VOTRE IDENTIFIANT PERSONNEL :

VOTRE RÉSEAU D'ENTREPRISE A ÉTÉ PÉNÉTRÉ
Tous vos fichiers importants ont été cryptés !

Vos fichiers sont en sécurité ! Seulement modifié. (RSA+AES)

TOUTE TENTATIVE DE RESTAURATION DE VOS FICHIERS AVEC UN LOGICIEL TIERS
LE CORROMPURA DE MANIÈRE PERMANENTE.
NE MODIFIEZ PAS LES FICHIERS CRYPTÉS.
NE RENOMMEZ PAS LES FICHIERS CRYPTÉS.

Aucun logiciel disponible sur Internet ne peut vous aider. Nous sommes les seuls à pouvoir
résolvez votre problème.

Nous avons collecté des données hautement confidentielles/personnelles. Ces données sont actuellement stockées sur
un serveur privé. Ce serveur sera immédiatement détruit après votre paiement.
Si vous décidez de ne pas payer, nous divulguerons vos données au public ou au revendeur.
Vous pouvez donc vous attendre à ce que vos données soient accessibles au public dans un avenir proche.

Nous recherchons uniquement de l'argent et notre objectif n'est pas de nuire à votre réputation ou d'empêcher
votre entreprise de fonctionner.

Vous pourrez nous envoyer 2-3 fichiers non importants et nous les décrypterons gratuitement
pour prouver que nous sommes en mesure de restituer vos fichiers.

Contactez-nous pour connaître le prix et obtenez un logiciel de décryptage.

e-mail:
ithelp15@securitymy.name
ithelp15@yousheltered.com

Pour nous contacter, créez un nouveau compte email gratuit sur le site : protonmail.com
SI VOUS NE NOUS CONTACTEZ PAS DANS LES 72 HEURES, LE PRIX SERA PLUS ÉLEVÉ.

Tor-chat pour être toujours en contact :

Comment les ransomwares sont-ils distribués en ligne ?

Les ransomwares sont distribués en ligne par diverses méthodes, exploitant souvent les vulnérabilités des logiciels, les techniques d'ingénierie sociale et les pièces jointes ou liens malveillants. Voici quelques méthodes courantes de distribution des ransomwares :

E-mails de phishing :
Les e-mails de phishing sont une méthode répandue pour propager des ransomwares. Les attaquants envoient des e-mails trompeurs qui semblent provenir de sources légitimes, telles que des banques, des agences gouvernementales ou des organisations de confiance. Ces e-mails contiennent des pièces jointes ou des liens malveillants qui, lorsqu'ils sont cliqués ou ouverts, téléchargent et exécutent un ransomware sur l'ordinateur de la victime.

Publicité malveillante :
La publicité malveillante implique que les cybercriminels placent des publicités malveillantes sur des sites Web légitimes. Lorsqu'un utilisateur clique sur ces publicités, il peut sans le savoir déclencher le téléchargement d'un ransomware ou être redirigé vers un site Web hébergeant des kits d'exploitation, qui délivrent ensuite la charge utile du ransomware.

Téléchargements au volant :
Les téléchargements intempestifs se produisent lorsqu'un utilisateur visite un site Web compromis ou malveillant. Dans certains cas, le site Web exploite les vulnérabilités du navigateur Web ou des plug-ins de l'utilisateur pour télécharger et installer automatiquement un ransomware sur le système du visiteur sans aucune interaction de l'utilisateur.

Kits d'exploitation :
Les kits d'exploitation sont des kits d'outils utilisés par les attaquants pour identifier et exploiter les vulnérabilités du logiciel d'une victime. Lorsqu'un utilisateur visite un site Web compromis ou clique sur un lien malveillant, le kit d'exploitation recherche les vulnérabilités et fournit la charge utile du ransomware si une vulnérabilité est trouvée.

Attaques du protocole de bureau à distance (RDP) :
Les attaquants ciblent les ports RDP exposés et tentent d'obtenir un accès non autorisé à l'ordinateur ou au réseau d'une victime. Une fois à l’intérieur, ils déploient un ransomware directement sur le système.

Pièces jointes malveillantes :
Les ransomwares peuvent se propager via des pièces jointes à des e-mails, souvent déguisées en fichiers inoffensifs comme des fichiers PDF, des documents Word ou des archives ZIP. Lorsque ces pièces jointes sont ouvertes, elles exécutent des scripts ou des macros malveillants qui lancent le téléchargement du ransomware.