Rorschach Ransomware verrouillera les fichiers des victimes

Les rançongiciels appelés Rorschach ou BabLock sont utilisés par les cyber-attaquants pour chiffrer les fichiers, ciblant en particulier les petites et moyennes entreprises, ainsi que les entreprises industrielles. En plus de crypter les données, ce logiciel malveillant ajoute également une chaîne de caractères aléatoire et un nombre à deux chiffres à la fin des noms de fichiers. Par exemple, il renomme "1.jpg" en "1.jpg.slpqne.37", "2.png" en "2.png.slpqne.39", etc. La chaîne de caractères aléatoires ajoutée peut différer selon le variante de rançongiciel.

Lorsque le système est piraté, le rançongiciel Rorschach dépose une note de rançon sur le bureau ("_r_e_a_d_m_e.txt") et modifie le fond d'écran du bureau. La note de rançon indique que les données ont été cryptées, que les sauvegardes ont été supprimées et que des informations confidentielles ont été téléchargées par les pirates. Il conseille également aux victimes de ne pas se présenter à la police, au FBI ou à d'autres autorités tant que la rançon n'est pas payée.

De plus, la note de rançon décourage les victimes de contacter les sociétés de récupération de données car elles sont considérées comme des intermédiaires qui les tromperont. La note avertit les victimes de ne pas essayer de déchiffrer les fichiers ou de modifier l'extension du fichier car cela entraînerait une perte de données permanente. La note de rançon fournit une adresse e-mail aux victimes pour contacter les acteurs de la menace et envoyer plusieurs fichiers pour test de décryptage.

La note de rançon se termine par une menace selon laquelle si la rançon n'est pas payée, les cybercriminels frapperont à nouveau l'entreprise et supprimeront toutes les données de leurs réseaux.

La note de rançon de Rorschach indique à ses opérateurs des sociétés cibles

Le texte intégral de la note de rançon Rorschach se lit comme suit :

Identifiant de déchiffrement : -

Salut, puisque vous lisez ceci, cela signifie que vous avez été piraté.
En plus de chiffrer tous vos systèmes, de supprimer les sauvegardes, nous avons également téléchargé vos informations confidentielles.
Voici ce que vous ne devriez pas faire :
1) Contactez la police, le fbi ou d'autres autorités avant la fin de notre accord.
2) Contactez la société de récupération afin qu'elle dialogue avec nous. (Cela peut ralentir la reprise, et mettre notre communication à néant). N'allez pas dans les sociétés de récupération, ce ne sont essentiellement que des intermédiaires qui vous feront gagner de l'argent et vous tromperont. nous pour 1 million de dollars, alors ils gagnent 4 millions de dollars grâce à vous. Si vous nous approchiez directement sans intermédiaires vous paieriez 5 fois moins, soit 1 million de dollars.
3) N'essayez pas de décrypter les fichiers vous-même, et ne modifiez pas vous-même l'extension de fichier !!! Cela peut conduire à l'impossibilité de leur décryptage.

Voici ce que vous devez faire juste après l'avoir lu :
1) Si vous êtes un employé ordinaire, envoyez notre message au PDG de l'entreprise, ainsi qu'au service informatique.
2) Si vous êtes un PDG, ou un spécialiste du service informatique, ou une autre personne qui a du poids dans l'entreprise, vous devez nous contacter dans les 24 heures par e-mail.

Si vous ne payez pas la rançon, nous attaquerons à nouveau votre entreprise à l'avenir. Dans quelques semaines, nous répéterons simplement notre attaque et supprimerons toutes vos données de vos réseaux, CE QUI ENTRAÎNERA LEUR INDISPONIBILITÉ !

Pour garantir que nous pouvons décrypter les fichiers, nous vous suggérons d'envoyer plusieurs fichiers pour un décryptage gratuit.
Mails pour nous contacter (Ecrivez l'ID de déchiffrement dans le titre de votre message) :
1)wvpater@onionmail.org
2)wvpater1@onionmail.org

Comment les ransomwares comme Rorschach sont-ils généralement distribués ?

Les ransomwares comme Rorschach sont généralement distribués par le biais d'e-mails de phishing, de pièces jointes malveillantes ou de liens vers des sites Web infectés. Les attaquants peuvent utiliser des tactiques d'ingénierie sociale pour inciter les victimes à télécharger et à exécuter le logiciel malveillant, par exemple en déguisant le rançongiciel en une mise à jour logicielle légitime ou en offrant une incitation tentante en échange d'un clic sur un lien.

Dans certains cas, les attaquants peuvent également exploiter les vulnérabilités de logiciels obsolètes pour accéder au système d'une victime et installer le rançongiciel. Il est important de maintenir à jour votre système d'exploitation et tous les logiciels, d'utiliser un logiciel antivirus et de faire attention aux e-mails et sites Web suspects afin de réduire le risque d'infection par un rançongiciel.