XCor Ransomware verrouille les systèmes victimes

xCor est une forme de rançongiciel créé dans le but de crypter des fichiers, de modifier leurs noms en ajoutant l'identifiant de la victime, l'adresse e-mail xcorp@decoymail.mx et en ajoutant l'extension ".xCor". Ce logiciel malveillant présente deux notes de rançon, l'une sous la forme d'une fenêtre pop-up et l'autre sous la forme d'un fichier "info.txt". Notre équipe a découvert xCor lors de notre enquête sur des échantillons de logiciels malveillants.

De plus, nos découvertes ont révélé que xCor est associé à la famille de rançongiciels Dharma. Pour illustrer comment ce ransomware manipule les noms de fichiers, il prend un fichier comme "1.jpg" et le transforme en "1.jpg.id-1E857D00.[xcorp@decoymail.mx].xCor", modifiant de la même manière d'autres fichiers tels que "2 .png" à "2.png.id-1E857D00.[xcorp@decoymail.mx].xCor", et ainsi de suite.

La note de rançon informe les victimes que tous leurs fichiers ont été cryptés. Cependant, il offre également l'assurance que les fichiers peuvent être restaurés. Les victimes reçoivent des instructions pour contacter les attaquants par e-mail, soit via xcorp@decoymail.mx ou murmure@mailfence.com.

De plus, la note indique que les attaquants offrent une garantie de décryptage gratuit pour un maximum de trois fichiers, servant de démonstration de leur capacité. Certaines limitations sont imposées aux fichiers éligibles au décryptage, notamment des restrictions de taille (moins de 3 Mo) et des restrictions de contenu (comme l'exclusion d'informations précieuses telles que des bases de données ou des sauvegardes).

Enfin, les victimes reçoivent deux avertissements. Tout d'abord, il leur est fortement déconseillé de renommer les fichiers cryptés. Deuxièmement, ils sont découragés de tenter de déchiffrer les données à l'aide d'un logiciel tiers, car cela pourrait entraîner une perte de données permanente.

Note de rançon xCor présentée en deux formats

La version plus longue de la note de rançon xCor se lit comme suit :

Tous vos fichiers ont été cryptés !
Ne vous inquiétez pas, vous pouvez retourner tous vos fichiers !
Si vous souhaitez les restaurer, écrivez au mail : xcorp@decoymail.mx VOTRE ID 1E857D00
Si vous n'avez pas répondu par mail dans les 12 heures, écrivez-nous par un autre mail :whisper@mailfence.com
Décryptage gratuit comme garantie
Avant de payer, vous pouvez nous envoyer jusqu'à 3 fichiers pour un décryptage gratuit. La taille totale des fichiers doit être inférieure à 3 Mo (non archivés) et les fichiers ne doivent pas contenir d'informations précieuses. (bases de données, sauvegardes, feuilles Excel volumineuses, etc.)
Comment obtenir des bitcoins
Le moyen le plus simple d'acheter des bitcoins est le site LocalBitcoins. Vous devez vous inscrire, cliquer sur "Acheter des bitcoins" et sélectionner le vendeur par mode de paiement et prix.
hxxps://localbitcoins.com/buy_bitcoins
Vous pouvez également trouver d'autres endroits pour acheter des Bitcoins et un guide pour débutants ici :
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Ne renommez pas les fichiers cryptés.
N'essayez pas de déchiffrer vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte de données permanente.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation du prix (ils ajoutent leurs frais à nos) ou vous pouvez devenir victime d'une arnaque.

Comment un ransomware comme xCor peut-il infecter votre ordinateur ?

xCor et les rançongiciels similaires peuvent infecter votre ordinateur par divers moyens. Voici quelques méthodes courantes utilisées par les ransomwares pour infiltrer les systèmes :

• Pièces jointes aux e-mails : les rançongiciels se propagent couramment par le biais de pièces jointes malveillantes. Les cybercriminels envoient souvent des e-mails qui semblent légitimes et convaincants, contenant des pièces jointes infectées telles que des PDF, des documents Word ou des fichiers exécutables. Si vous téléchargez et ouvrez sans le savoir de telles pièces jointes, le ransomware peut être activé et commencer à chiffrer vos fichiers.
• E-mails et sites Web de phishing : les ransomwares peuvent également être distribués via des e-mails de phishing ou de faux sites Web. Les e-mails de phishing sont conçus pour inciter les destinataires à cliquer sur des liens malveillants ou à télécharger des fichiers infectés. De même, de faux sites Web peuvent vous inviter à télécharger des mises à jour logicielles ou à entrer des informations personnelles, mais à la place, ils envoient des rançongiciels sur votre système.
• Kits d'exploitation : les ransomwares peuvent exploiter les vulnérabilités de logiciels, de systèmes d'exploitation ou de navigateurs Web obsolètes. Les kits d'exploitation sont des outils malveillants qui analysent les ordinateurs à la recherche de failles de sécurité et fournissent des charges utiles de ransomware pour exploiter ces vulnérabilités. Il est crucial de mettre régulièrement à jour votre logiciel et d'utiliser des correctifs de sécurité fiables pour minimiser les risques d'exploitation.
• Publicité malveillante : la publicité malveillante, ou publicité malveillante, implique l'injection de code malveillant dans des publicités en ligne ou des sites Web légitimes. En visitant simplement un site Web compromis ou en cliquant sur une publicité infectée, un logiciel de rançon peut être téléchargé par inadvertance sur votre ordinateur à votre insu.
• Attaques RDP (Remote Desktop Protocol) : les attaquants de type ransomware ciblent parfois des ordinateurs avec le protocole Remote Desktop Protocol exposé. S'ils réussissent à exploiter des identifiants de connexion faibles ou faciles à deviner, ils obtiennent un accès non autorisé au système et déploient un rançongiciel.
• Téléchargements intempestifs : les téléchargements intempestifs se produisent lors de la visite de sites Web compromis contenant un code malveillant caché. La simple visite de ces sites Web peut déclencher le téléchargement et l'installation automatiques de rançongiciels sur votre ordinateur.