DeathRansom: A Ransomware Hellbent a fájlok megfertőzésével fertőzött számítógépeken titkosítás útján

A Ransomware olyan globális problémává vált a számítógép-használók és a vállalkozások számára, a közelmúltbeli fenyegetések áldozatai a támadás költségvetés-tervezéséhez fordultak, hogy fizethessék a kért váltságdíjat, és késedelem nélkül visszatérhessenek számítógépükhöz. A Ransomware fenyegetései, mint például a DeathRansom, kifinomultabb és könyörtelenebbek azon törekvéseikben, hogy pénzt zsaroljanak ki az áldozatoktól, így sokféle lehetőség nélkül maradhatnak az ügyfeleknek.

A DeathRansom egy váltságdíjszoftver-fenyegetés, amely titkosítja az Ön adatait, és váltságdíjat igényel annak helyrehozására. Az áldozatok beszámolnak arról, hogy kriptovalutában kell fizetniük egy meghatározott időkereten belül, amely teljesítés hiányában teljes adatvesztést eredményezne. Ugyanakkor nem javasoljuk, hogy kövesse ezeket a követelményeket, mivel ezek valószínűleg nem lesznek hatékonyak, és eredményezhetik nemcsak pénzt pazarolhatnak semmiben, hanem azt is veszélyeztethetik számítógépére, hogy más veszélyekkel fertőződjön meg.

Mit csinál a DeathRansom?

Ami a ransomware fenyegetését illeti, az az, hogy nem titkosította az áldozat fájljait ... vagy legalábbis nem kezdetben. Kiderült, hogy a DeathRansom ransomware kezdeti verziója csak arra törekedett, hogy titkosítsa az adatokat, és az érintett felhasználók képessé tehetik fájljaik újbóli felhasználhatóságát. A tökéletes világban minden áldozatul esett számítógép-felhasználónak el kellett távolítania az egyes fájlok .wctc kiterjesztését. Ilyen kódolt fájlra példa az '1.docx.wctc'.

Sajnos, a DeathRansom által érintett fájlok kiterjesztésének egyszerű megváltoztatása már nem a megoldás. A DeathRansom áldozatainak száma növekedése óta a fenyegetés megváltoztatta a taktikát, és most képes titkosítani áldozatainak személyes fájljait, de a .wctc kiterjesztés beillesztése nélkül. Eddig az egyetlen módszer annak kiderítésére, hogy a DeathRansom ransomware titkosította-e az Ön adatait, az, hogy megnyitja az érintett fájlt, és ellenőrzi a jelölőt a titkosítás végén. A jelentések szerint a fájljelölőnek az „AB EF CD AB” szöveget kell olvasnia.

Ez a rosszindulatú DeathRansom fenyegetés a Microsoft Windows felhasználókat célozza meg. Közvetlenül a beszivárgás után a fenyegetés az áldozat eszközén található összes fájlt titkosítja, kivéve azokat, amelyek teljes elérési útjának neve a következő karakterlánccal rendelkezik:

• program adatok
• $ recycle.bin
• program fájlok
• ablakok
• minden felhasználó
• App adatok
• read_me.txt
• autoexec.bat
• desktop.ini
• autorun.inf
• Ntuser.dat
• iconcache.db
• bootsect.bak
• boot.ini
• ntuser.dat.log
• Thumbs.db

A fájl titkosítási folyamatát követően a ransomware minden fájlban létrehoz egy szöveges fájlt (read_me.txt), ahol titkosított adatok vannak, így az áldozat könnyen láthatja.

A Ransom jegyzet

Az read_me.txt fájl egy váltságdíjjegy, amelyet a DeathRansom készítői hagytak el. Mint már említettük, a ransomware „frissített” verziója most már képes titkosítani az adatokat, de nem tartalmaz kiterjesztést. Úgy tűnik, hogy a váltságdíjat is enyhén megváltoztatta. Ez az üzenet tájékoztatja a felhasználót arról, hogy fájljaik titkosítva vannak, és ha nem akarják azokat véglegesen törölni, akkor 12 óra áll rendelkezésére, hogy kövessék a megadott utasításokat, és kriptovalutában fizetjenek.

A jegyzet tartalmaz egy személyes LOCK-ID-t és a bitcoin pénztárca számát, amelyre 0,1 BTC-t kell küldeni. Az áldozatokat arra utasítják, hogy írjanak e-mailt a megadott címre, és tartalmazzák a LOCK-ID-t és a fizetés időpontját.

Érdekes módon felajánlják, hogy egy választott fájlt ingyenesen dekódolnak, hogy bizonyítsák, hogy rendelkeznek dekódoló eszközzel, és megszerezik a bizalmat. A meghatározott időkereten és a fizetendő pénzmennyiségen kívül a váltságdíjhoz fűződő újdonság a küldött „tesztfájl” specifikációi is. Ennek a következőnek kell lennie:

• legfeljebb 1 MB
• vagy .txt vagy .lnk fájl, nincs adatbázis

Végül a váltságdíj olyan forrásokat tartalmaz, ahonnan bitcoinokat vásárolhat.

Hogyan terjed a Ransomware>

Eddig olyan rosszindulatú szoftverekkel foglalkozó számítógépes biztonsági szakértők, mint például a GrujaRS kutatása során nem találtak egy speciális terjesztési módszert, amelyet e fenyegetés használ. Valószínűleg úgy terjed, mint más ransomware paraziták. Ilyen módszerek a következők:

• megtévesztő spam e-mailek
• torrent fájlok
• rosszindulatú hirdetések
• hamis frissítési üzenetek
• megbízhatatlan külső gyártók telepítései
• Trójai vírusok

Hagyományosan, a számítógépes felhasználókat elég könnyű megtéveszteni egy vonzó címsorú e-maillel. Az ilyen spam kampányok megpróbálhatják megijeszteni a felhasználókat olyan címekkel, mint „A bankszámláját megszüntetik !!!”. A számítógépes biztonsági szakértők általában figyelmeztetik a számítógépeket, hogy ne rohanják el minden e-mailt, amelyet látsz, vagy olyanokat, amelyeknek vonzó témája van, vagy amelyek valószínűleg a bankjából vagy a kedvenc közösségi média webhelyéről származnak. Bizonyos esetekben az üzenetek úgy viselkedhetnek, mintha egy jól ismert társaság vagy az egyik legnagyobb közösségi médiahálózat, például a Facebook vagy a Twitter érkezik. A legjobb, ha ellenőrzi a feladó e-mailjét, és összehasonlítja azt a tényleges cég hivatalos címével. Ezután biztosan tudja, hogy az e-mail jogszerű-e vagy sem.

A rosszindulatú programok kutatói általában azt javasolják, hogy a szoftverfrissítéseket csak megbízható forrásokból szerezzék be, ahelyett, hogy egy véletlenszerű pop-upra kattintanának, amely azt akarja, hogy egy árnyékos linket kövessen.

Ismert, hogy a felhasználók figyelmen kívül hagyják az alapvető részleteket a telepítési folyamat során. Annak biztosítása érdekében, hogy a számítógép-használók ne véletlenül telepítsenek rosszindulatú programokat a kívánt programmal együtt, legjobb, ha a telepítőben található további szoftvereket keresik. A rosszindulatú programok ismert módon elrejti magát opcionális programokként, ezért a legjobb, ha elhagyja az ilyen ismeretlen telepítéseket.

DeathRansom eltávolítása és adat helyreállítása

Még akkor is, ha a DeathRansom alkotói sürgetik a velük való kapcsolatfelvételt és a visszafejtési szolgáltatások fizetését, a legjobb, ha elkerülik igényeik teljesítését. Ehelyett a szakemberek azt javasolják, hogy teljes mértékben szabaduljon meg a fenyegetéstől. Ebből a célból javasolt egy megbízható szoftver használata, amely biztonságosan felismeri és eltávolítja a DeathRansom-t.

Ami az adatmentést illeti, a legjobb megoldás a felhőalapú adatbázisokban vagy külső eszközökön tárolt fájlmentésekre támaszkodni. Ezenkívül a fejlett dekódolási eszközök megbízható forrásokból is megtalálhatók, amelyek különösen ehhez a ransomware-hez működnek. A lényeg az, hogy vannak olyan lehetőségek, amellett, amelyeket a DeathRansom fejlesztői magyarázhatnak. A legjobb, ha az egészet átgondolja, mielőtt eldöntené, hogy mit tegyen, mivel nincs garancia, hogy minden titkosított fájl helyreáll, ha úgy dönt, hogy betartja a ransomware igényeit.