A HUNTER Ransomware titkosítja a rendszer tartalmát

A rosszindulatú programok mintáinak vizsgálata során felfedeztük a HUNTER-t, a Phobos családba tartozó ransomware egy változatát. Ez a rosszindulatú program titkosítja a fájlokat, módosítja a fájlneveiket, és két váltságdíj-jegyzetet jelenít meg, „info.txt” és „info.hta” felirattal. Ezenkívül a HUNTER ransomware hozzáfűzi az áldozat azonosítóját, egy e-mail címét és a ".HUNTER" kiterjesztést a fájlnevekhez.

Például átalakítja az „1.jpg”-t „1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER”-re, a „2.png”-t pedig „2.png.id[-re” 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER" és így tovább. A váltságdíjról szóló feljegyzés tájékoztatja az áldozatot fájljaik titkosításáról, ami a számítógépén fellépő biztonsági probléma miatt történt. E-mail címet biztosít (hunter-x@tuta.io) a támadókkal való kommunikációhoz, és tanácsot ad egy konkrét azonosító megadására az e-mail tárgysorába. Ha 24 órán belül nem érkezik válasz, az áldozatot arra utasítják, hogy egy Telegram-fiókon (@Online7_365) keresztül lépjen kapcsolatba a támadókkal.

A feljegyzésben Bitcoinban kell fizetni a visszafejtésért, az összeg attól függően változik, hogy az áldozat milyen gyorsan lép kapcsolatba a támadókkal. Garanciaként legfeljebb három fájl ingyenes visszafejtését kínálja, feltéve, hogy azok mérete 4 MB alatt van, és nem tartalmaznak értékes információkat.

Ezen túlmenően az áldozatot óva intjük attól, hogy titkosított fájlokat nevezzen át vagy próbáljon meg visszafejteni harmadik féltől származó szoftverrel, hogy elkerülje az állandó adatvesztést vagy a csalások áldozatává válását.

HUNTER Ransom Note teljes terjedelmében

A HUNTER által generált váltságdíj teljes szövege a felugró ablakban és az info.hta fájlban a következő:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Hogyan fertőzheti meg a rendszerét a HUNTER-hez hasonló zsarolóvírus?

A HUNTER-hez hasonló zsarolóprogramok különféle módszerekkel megfertőzhetik a rendszert, többek között:

Adathalász e-mailek: Az egyik gyakori módszer a rosszindulatú mellékleteket vagy hivatkozásokat tartalmazó adathalász e-mailek. Ezek az e-mailek jogosnak tűnhetnek, és gyakran alkalmaznak szociális tervezési taktikákat, hogy rávegyék a felhasználókat a mellékletek megnyitására vagy a hivatkozásokra kattintva, amelyek aztán letöltik és végrehajtják a zsarolóprogramot a rendszerre.

Rosszindulatú webhelyek: A feltört vagy rosszindulatú webhelyek látogatása ransomware-fertőzéshez is vezethet. Ezek a webhelyek kihasználhatják a webböngészők vagy a beépülő modulok sebezhetőségét, hogy csendben letöltsenek és zsarolóprogramokat telepítsenek az áldozat rendszerére az áldozat tudta vagy beleegyezése nélkül.

Szoftver sebezhetőségeinek kihasználása: A Ransomware kihasználhatja a szoftverek, például operációs rendszerek, webböngészők vagy beépülő modulok sebezhetőségeit, hogy jogosulatlan hozzáférést szerezzen a rendszerhez. A támadók kihasználhatják azokat az ismert sebezhetőségeket, amelyekhez nem alkalmaztak javításokat vagy frissítéseket, lehetővé téve a zsarolóvírus behatolását a rendszerbe.

Távoli asztali protokoll (RDP) támadások: A zsarolóvírus-támadók olyan rendszereket célozhatnak meg, amelyek nyílt vagy gyengén védett Remote Desktop Protocol (RDP) kapcsolattal rendelkeznek. Brute force támadásokat alkalmazhatnak, vagy ellopott hitelesítő adatokat szerezhetnek be, hogy jogosulatlan hozzáférést kapjanak a rendszerhez, és zsarolóprogramokat telepítsenek.

Rosszindulatú letöltések: A felhasználók véletlenül letölthetik a zsarolóprogramokat, ha rosszindulatú hirdetésekre kattintanak, kalózszoftvert vagy nem megbízható forrásból származó tartalmat töltenek le, vagy hamis szoftverfrissítéseket vagy alkalmazásokat telepítenek kétes webhelyekről.

Rosszindulatú hirdetések: A rosszindulatú hirdetések vagy rosszindulatú hirdetések átirányíthatják a felhasználókat olyan webhelyekre, amelyek zsarolóprogramokat szállító kizsákmányoló készleteket tartalmaznak. Ezek a hirdetések legitim webhelyeken jelenhetnek meg, és megfertőzhetik a felhasználók rendszereit azok interakciója vagy tudta nélkül.

Drive-by-letöltések: A zsarolóprogramok automatikus letöltésekkel is szállíthatók, ahol a rosszindulatú programok automatikusan letöltődnek és végrehajtódnak, amikor a felhasználó felkeresett webhelyet keres fel, vagy a weboldalakba ágyazott rosszindulatú tartalommal lép kapcsolatba.