Trash Panda Ransomware affiche une note de rançon inhabituelle
Au cours de notre examen de routine des soumissions récentes de fichiers, notre groupe de recherche est tombé sur la variante du rançongiciel Trash Panda. Ce logiciel malveillant particulier a été découvert dans le cadre de nos efforts continus pour enquêter sur les menaces émergentes.
Lors de l'exécution d'un échantillon de Trash Panda sur notre environnement de test contrôlé, le programme a rapidement lancé sa routine de cryptage des données. En conséquence, les noms de fichiers ont subi une modification avec l'ajout d'une extension ".monochrome". Par exemple, un fichier nommé "1.jpg" a été rapidement transformé en "1.jpg.monochrome", tandis que "2.png" est devenu "2.png.monochrome", et ainsi de suite. Une fois ce processus de cryptage arrivé à son terme, une note de rançon intitulée "[random_string]-readme.html" a été générée.
La note de rançon utilisée par Trash Panda transmet le message pénible que les fichiers de la victime ont été cryptés en toute sécurité. La note poursuit en préconisant de contacter les acteurs malveillants à l'origine de l'attaque afin de lancer le processus de récupération des données compromises. Un avertissement crucial est inclus, soulignant que le fait de ne pas établir de contact avec les cybercriminels avant que le compte à rebours n'atteigne zéro entraînera la suppression permanente de la clé de déchiffrement, rendant inutile toute tentative de restauration de données.
Trash Panda Ransom Note fait allusion à un conflit militaire
Le texte intégral du rançongiciel Trash Panda utilise le leet-speak, en remplaçant les lettres par des chiffres, et fait référence à une sorte de conflit armé sans mentionner quoi que ce soit de spécifique. La note se lit comme suit :
L'équipe Trash Panda était là
Tous vos fichiers ont été supprimés par notre
7r45H P4ND4 Asomeware
Faisons un D341. Vous libérez notre peuple. Nous libérons vos données.
N'essayez pas de récupérer un fichier. Tous les fichiers ont été supprimés à l'aide d'une norme de cryptage très avancée établie par le National Institute of Standards and Technology (NIST) des États-Unis. Vous pouvez consulter le lien suivant pour savoir comment vos fichiers ont été supprimés. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Nous ne nous soucions pas de vos données. Nous ne nous soucions pas de l'argent. Nous voulons que notre famille nous revienne et VOUS SORTEZ DE NOTRE PATRIE.
Oh, BTW, vous avez peu de temps pour prendre une décision. Nous supprimerons la clé principale après l'expiration du compte à rebours. Vite ~ Vite ~
VOTRE CLÉ SERA SUPPRIMÉE APRÈS
(compte à rebours)Vous pouvez nous contacter au -
Si vous souhaitez récupérer vos fichiers, mettez la clé suivante dans le formulaire de saisie. Nous vous contacterons plus tard
Comment le rançongiciel comme Trash Panda est-il distribué en ligne ?
La distribution de rançongiciels tels que Trash Panda implique généralement une variété de tactiques et de techniques conçues pour exploiter les vulnérabilités, les comportements des utilisateurs et les faiblesses technologiques. Bien que je n'aie pas d'informations spécifiques sur les méthodes de distribution de "Trash Panda" puisque ma date limite de connaissance est en septembre 2021, je peux vous fournir des informations générales sur la manière dont les ransomwares sont couramment distribués :
- E-mails d'hameçonnage : les cybercriminels envoient souvent des e-mails convaincants qui semblent provenir de sources légitimes, contenant des pièces jointes ou des liens malveillants. Lorsque les utilisateurs interagissent avec ces pièces jointes ou ces liens, la charge utile du ransomware est téléchargée et exécutée sur leur système.
- Publicité malveillante : les publicités malveillantes sur les sites Web ou les réseaux publicitaires peuvent conduire les utilisateurs vers des sites Web hébergeant des rançongiciels. La simple visite d'un site Web compromis peut déclencher le téléchargement du rançongiciel sur l'ordinateur de la victime.
- Téléchargements intempestifs : les cybercriminels peuvent exploiter les vulnérabilités des logiciels, des plug-ins ou des composants du navigateur pour diffuser des rançongiciels sur le système d'un utilisateur sans aucune interaction de l'utilisateur. C'est ce qu'on appelle un téléchargement intempestif.
- Installateurs de logiciels compromis : les attaquants peuvent infiltrer des installateurs de logiciels légitimes, ajoutant la charge utile du ransomware. Lorsque les utilisateurs téléchargent et installent le logiciel à partir de sources compromises, le ransomware est également installé.
- Attaques RDP (Remote Desktop Protocol) : les attaquants peuvent cibler des systèmes avec des connexions RDP faibles ou non protégées. Ils accèdent et installent manuellement les ransomwares, ou utilisent des outils automatisés pour fournir la charge utile des ransomwares.
- Macros malveillantes : les macros malveillantes intégrées dans les documents Microsoft Office peuvent être utilisées pour télécharger et exécuter des rançongiciels lorsque les utilisateurs activent les macros dans ces documents.
