Qu’est-ce que le ransomware ZILLA (Dharma) ?

ZILLA est une souche de ransomware appartenant à la célèbre famille Dharma. Lors de l'infection d'un système, ZILLA crypte les fichiers, les renomme et laisse des notes de rançon dans une fenêtre contextuelle et un fichier texte nommé « ZILLA-INFO.txt ».

Comment ZILLA renomme les fichiers

Le ransomware renomme les fichiers en ajoutant l'identifiant de la victime, l'adresse e-mail filezilla@cock.li et l'extension « .ZILLA ». Par exemple, « 1.jpg » devient « 1.jpg.id-9ECFA84E.[filezilla@cock.li].ZILLA » et « 2.png » devient « 2.png.id-9ECFA84E.[filezilla@cock. .li].ZILLA."

Présentation de la note de rançon ZILLA

Instructions dans la note de rançon

La demande de rançon demande aux victimes d'envoyer un e-mail à filezilla@cock.li, en incluant leur pièce d'identité dans le message. S'il n'y a pas de réponse dans les 12 heures, un autre e-mail (filezilla@cyberfear.com) est fourni. Les victimes ont la possibilité de décrypter gratuitement jusqu'à trois fichiers (moins de 3 Mo chacun) avant le paiement.

La demande de rançon ZILLA se lit comme suit :

ZILLA
Don't worry, you can return all your files!
If you want to restore them, write to the mail: filezilla@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:filezilla@cyberfear.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Avertissements et recommandations

La note met en garde contre le fait de renommer des fichiers cryptés ou d'utiliser des outils de décryptage tiers, avertissant que de telles actions pourraient entraîner une perte permanente de données ou des coûts supplémentaires.

Plus de détails sur les ransomwares

Problèmes de confiance avec les cybercriminels

Seuls les cybercriminels à l’origine des attaques de ransomware possèdent généralement les outils de décryptage nécessaires à la récupération de fichiers. Cependant, ils ne fournissent souvent pas ces outils, même après paiement. Par conséquent, il est fortement déconseillé de payer la rançon pour éviter de perdre à la fois des données et de l’argent.

Potentiel de récupération sans payer

Les victimes peuvent récupérer des fichiers sans payer la rançon si elles disposent de sauvegardes ou si elles peuvent localiser des outils de décryptage tiers. Il est également crucial de supprimer les ransomwares pour empêcher d’autres cryptages et empêcher les logiciels malveillants de se propager sur un réseau local.

Caractéristiques du ransomware de la famille Dharma

Impact et persistance du système

Le ransomware Dharma crypte les fichiers locaux et partagés sur le réseau, désactive les pare-feu et supprime les clichés instantanés de volumes. Il assure la persistance en se copiant dans le chemin "%LOCALAPPDATA%" et en s'enregistrant avec des clés d'exécution spécifiques. De plus, il collecte des données de localisation et peut exclure certains emplacements prédéterminés.

Ransomwares en général

Définition et fonction des ransomwares

Les ransomwares sont un type de malware que les cybercriminels utilisent pour exiger un paiement en échange d'outils de décryptage. Les victimes ne peuvent pas accéder à leurs fichiers sans payer, à moins qu'elles ne disposent de sauvegardes ou d'outils de décryptage tiers. Il est conseillé de stocker des fichiers importants sur un serveur distant ou un périphérique de stockage hors ligne pour se protéger contre les attaques de ransomwares.

Exemples de variantes de ransomwares

D'autres exemples de variantes de ransomware incluent LostInfo, GameCrypt et RADAR.

Comment un ransomware a-t-il infecté mon ordinateur ?

Méthodes d'infection

Les auteurs de menaces utilisent diverses méthodes pour inciter les utilisateurs à infecter leurs ordinateurs. Ces méthodes incluent la dissimulation des ransomwares dans des logiciels piratés, des outils de crack et des générateurs de clés, l'envoi d'e-mails frauduleux contenant des pièces jointes ou des liens malveillants, l'exploitation des vulnérabilités de logiciels ou de systèmes d'exploitation obsolètes et la création de publicités malveillantes.

Canaux d'infection supplémentaires

Les cybercriminels utilisent également des réseaux P2P, des téléchargeurs tiers, des sites Web compromis ou trompeurs, des escroqueries au support technique, des sites d'hébergement de fichiers gratuits et des canaux similaires pour inciter les utilisateurs à télécharger et à exécuter des logiciels malveillants. Les ransomwares de la famille Dharma infectent souvent les systèmes via des services RDP vulnérables, en utilisant la force brute ou des attaques par dictionnaire sur des informations d'identification mal gérées.

Comment vous protéger contre les infections par ransomware

Mesures préventives

Pour éviter les infections par ransomware, soyez prudent avec les fichiers et les liens contenus dans les e-mails inattendus provenant d'expéditeurs inconnus. Évitez d'interagir avec les publicités, les fenêtres contextuelles, les boutons, les liens ou tout autre contenu sur des sites suspects. Évitez de télécharger des logiciels ou des outils piratés destinés à contourner l'activation et obtenez toujours des logiciels et des fichiers sur des sites Web officiels et des magasins d'applications réputés.

Maintenance et protection du système

Analysez régulièrement votre système à la recherche de menaces à l'aide d'un outil de sécurité fiable et maintenez votre système d'exploitation et tous les logiciels à jour. Si votre ordinateur est déjà infecté par ZILLA, exécutez une analyse avec une application anti-malware pour éliminer automatiquement le ransomware.