Az Ebaka Ransomware a Phobos kódon alapul

A legutóbbi rosszindulatú programok mintáinak vizsgálata során kutatócsoportunk az Ebaka ransomware-re bukkant, amely a Phobos ransomware család tagja. Az Ebaka-t úgy tervezték, hogy titkosítsa a fájlokat, és fizetést követel a visszafejtésükért cserébe.

Tesztrendszerünkön ez a rosszindulatú szoftver titkosítással módosította a fájlokat, és módosította a fájlneveiket. Az eredeti címeket kiegészítették az áldozathoz rendelt megkülönböztető azonosítóval, a kiberbűnözők e-mail címével és egy ".ebaka" kiterjesztéssel. Például az eredetileg „1.jpg” nevű fájlt „1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka”-ra alakították át.

A folyamat befejezése után Ebaka váltságdíjat generált, és elhelyezte azokat az asztalon és az összes titkosított könyvtárban. Az egyik jegyzet felugró ablakként jelent meg ("info.hta"), míg a másik szöveges fájl ("info.txt"). A szöveges fájl azt az üzenetet közvetíti, hogy az áldozat fájljait titkosították, és felszólítja őket, hogy lépjenek kapcsolatba a támadókkal a visszafejtés érdekében.

A felugró ablakban látható váltságdíj-jegyzet tartalma további részleteket ad a fertőzésről, meghatározva, hogy a visszafejtéshez váltságdíjat kell fizetni Bitcoin kriptovalutában. Állítólag a fizetés összege attól függ, hogy az áldozat milyen gyorsan veszi fel a kapcsolatot a kiberbűnözőkkel.

A váltságdíj követeléseinek teljesítése előtt az áldozatnak lehetősége van tesztelni a visszafejtést úgy, hogy legfeljebb öt titkosított fájlt küld a támadóknak, bizonyos korlátozások mellett. Az üzenet arra is figyelmeztet, hogy ne módosítsa a zárolt fájlokat vagy ne használjon harmadik féltől származó visszafejtő eszközöket, mivel az ilyen műveletek végleges adatvesztést okozhatnak. Ezenkívül figyelmeztetik az áldozatot, hogy ha harmadik felektől kér segítséget, az anyagi veszteségeket okozhat.

Ebaka Ransom Note teljes egészében

Az ebakai váltságdíj teljes szövege a következő:

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Garanciaként ingyenes visszafejtés
Fizetés előtt legfeljebb 5 fájlt küldhet nekünk ingyenes visszafejtésre. A fájlok teljes méretének 4 Mb-nál kisebbnek kell lennie (nem archivált), és a fájlok nem tartalmazhatnak értékes információkat. (adatbázisok, biztonsági mentések, nagy excel lapok stb.)

Hogyan szerezzünk Bitcoint
A legegyszerűbb módja a bitcoin vásárlásának a LocalBitcoins oldalon. Regisztrálnia kell, kattintson a "Bitcoin vásárlása" gombra, és válassza ki az eladót fizetési mód és ár alapján.
hxxps://localbitcoins.com/buy_bitcoins
Itt találhat más Bitcoin-vásárlási helyeket és kezdőknek szóló útmutatót is:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Figyelem!
Ne nevezze át a titkosított fájlokat.
Ne próbálja meg visszafejteni adatait harmadik féltől származó szoftverrel, mert ez végleges adatvesztést okozhat.
Fájlainak harmadik fél segítségével történő visszafejtése áremelkedést okozhat (ők hozzáteszik a mi díjukat a miénkhez), vagy átverés áldozatává válhat.

Hogyan fertőzheti meg a Ransomware a számítógépét?

A zsarolóvírusok különféle módokon megfertőzhetik számítógépét, és a támadók gyakran alkalmaznak social engineering taktikákat, hogy rávegyék a felhasználókat rosszindulatú kód letöltésére vagy végrehajtására. Íme néhány gyakori módszer, amellyel a zsarolóprogramok megfertőzhetik a számítógépet:

Adathalász e-mailek:
E-mail mellékletek: A kiberbűnözők gyakran küldenek adathalász e-maileket rosszindulatú mellékletekkel, például fertőzött Word-dokumentumokkal vagy PDF-fájlokkal. Amikor a felhasználó megnyitja a mellékletet, a zsarolóprogram végrehajtásra kerül.
Rosszindulatú linkek: Az adathalász e-mailek zsarolóprogramokat tartalmazó hamis webhelyekre mutató hivatkozásokat tartalmazhatnak. Ezekre a hivatkozásokra kattintva elindíthatja a ransomware letöltését és telepítését a számítógépére.

Rosszindulatú webhelyek:
Ha feltört vagy rosszindulatú webhelyeket keres fel, számítógépe automatikusan letöltésre kerülhet, ahol a rosszindulatú programok, köztük a zsarolóprogramok automatikusan letöltődnek és végrehajtódnak az Ön tudta nélkül.

Rosszindulatú hirdetés:
A kiberbűnözők feltörhetik a legitim online hirdetési hálózatokat, és rosszindulatú hirdetéseket (rosszindulatú hirdetéseket) helyezhetnek el a webhelyeken. Az ezekre a hirdetésekre kattintva zsarolóprogramok letöltéséhez vezethet.

Exploit készletek:
Az exploit kitek olyan rosszindulatú eszközkészletek, amelyek kihasználják a szoftverek vagy a böngészők sebezhetőségeit. Ha a rendszer nem naprakész a legújabb biztonsági javításokkal, egy exploit készlet kihasználhatja ezeket a sérülékenységeket zsarolóvírusok küldésére.

Távoli asztali protokoll (RDP) támadások:
A támadók a Remote Desktop Protocol gyenge vagy alapértelmezett jelszavainak kihasználásával megpróbálhatnak jogosulatlan hozzáférést szerezni a számítógéphez. Ha bejutottak, telepíthetik a zsarolóprogramokat.