WoXoTo Ransomware verrouille les systèmes des victimes
En analysant de nouveaux échantillons de logiciels malveillants, nous sommes tombés sur un nouvel ajout à la famille Xorist connu sous le nom de WoXoTo. WoXoTo fonctionne comme un ransomware, un logiciel malveillant conçu pour crypter des fichiers. De plus, WoXoTo génère deux notes de rançon : il crée le fichier « COMMENT DÉCRYPTER FILES.txt » et affiche un message contextuel. De plus, il modifie les noms de fichiers en ajoutant l'extension ".WoXoTo".
La demande de rançon informe la victime que ses fichiers ont été cryptés, mais la rassure de ne pas paniquer, affirmant que le décryptage est réalisable moyennant le paiement d'une rançon. La note précise que le mode de paiement est Bitcoin, le montant de la rançon étant fixé à 0,02 BTC.
Soulignant l'importance de l'exactitude, la note demande à la victime de confirmer l'adresse Bitcoin correcte pour le paiement, qui est fournie dans la note. Après le paiement, la victime est invitée à contacter les auteurs par e-mail à woxoto@tuta.io, en utilisant une ligne d'objet spécifiée. Dès confirmation du paiement, les attaquants s'engagent à fournir un tutoriel et des clés de décryptage pour permettre le déverrouillage des fichiers cryptés.
La note de rançon WoXoTo exige le paiement Bitcoin
Le texte intégral de la demande de rançon WoXoTo se lit comme suit :
Hi, as you can see, all your files are encrypted.
Don't panic, you can decrypt them, you just have to pay me for the ransom.Payment is made only by bitcoin, and the amount you have to pay is 0.02 BITCOIN
You can buy very easily from these sites:
www.localbitcoins.com
www.paxful.comA list of several sites where you can buy bitcoin can be found here:
hxxps://bitcoin.org/en/exchangesMake sure the address where you will send the bitcoin is: bc1q20q0xphyalwn6emjvd5xt5mc3a7tel08ldnfjq
After sending, contact us at this email address: woxoto@tuta.io
With this subject: -After confirming the payment, you will receive a tutorial and the keys for decrypting the files.
Comment les ransomwares sont-ils similaires à WoXoTo distribués ?
Les ransomwares, y compris WoXoTo, sont généralement distribués via diverses méthodes qui exploitent les vulnérabilités des systèmes ou incitent les utilisateurs à installer par inadvertance le logiciel malveillant. Bien que les méthodes de distribution spécifiques puissent varier, il existe des points communs dans la manière dont les ransomwares, y compris WoXoTo, sont diffusés :
E-mails de phishing :
Les ransomwares se propagent souvent via des e-mails de phishing contenant des pièces jointes ou des liens malveillants. Ces e-mails peuvent sembler légitimes, incitant les destinataires à cliquer sur des liens ou à ouvrir des pièces jointes, conduisant ainsi à l'installation du ransomware.
Liens malveillants :
Les cybercriminels peuvent utiliser des sites Web de phishing ou des sites légitimes compromis pour distribuer des ransomwares. Les utilisateurs peuvent visiter ces sites sans le savoir, déclenchant le téléchargement et l’exécution du code malveillant.
Kits d'exploitation :
Les ransomwares peuvent être distribués via des kits d'exploitation, qui ciblent les vulnérabilités des logiciels ou des systèmes d'exploitation. Lorsqu'un utilisateur visite un site Web compromis, le kit d'exploitation recherche les vulnérabilités et fournit la charge utile du ransomware.
Publicité malveillante :
Les publicités malveillantes (malvertising) sur des sites Web légitimes peuvent rediriger les utilisateurs vers des sites Web hébergeant des ransomwares. Cliquer sur ces publicités peut lancer le téléchargement et l'exécution du code malveillant.
Attaques de points d’eau :
Les cybercriminels peuvent compromettre les sites Web fréquemment visités par un groupe cible spécifique (tel que les employés d'une organisation particulière). Lorsque les utilisateurs du groupe ciblé visitent ces sites compromis, ils peuvent télécharger par inadvertance un ransomware.
Téléchargements au volant :
Les ransomwares peuvent être diffusés via des téléchargements drive-by, où les logiciels malveillants sont automatiquement téléchargés et exécutés lorsqu'un utilisateur visite un site Web compromis ou malveillant sans aucune interaction de l'utilisateur.
