A GrafGrafel Ransomware kettős zsarolással fenyeget

Az új fájlminták vizsgálata során kutatócsoportunk feltárta a GrafGrafel rosszindulatú programot, amely a Phobos ransomware családhoz tartozik. Az ilyen típusú rosszindulatú programok titkosítják az adatokat, és váltságdíjat követelnek a visszafejtésért.

Amikor a GrafGrafel mintát futtattuk a tesztgépünkön, az titkosította a fájlokat, és módosította a fájlneveiket. Az eredeti címek most tartalmaztak egy, az áldozathoz rendelt egyedi azonosítót, a kiberbűnözők e-mail címét és egy ".GrafGrafel" kiterjesztést. Például egy eredetileg "1.jpg" nevű fájl a titkosítás után átalakult "1.jpg.id[9ECFA84E-3511] [GrafGrafel@tutanota.com].GrafGrafel" formátumba.

Ezt a titkosítási folyamatot követően váltságdíj-feljegyzések jelentek meg egy felugró ablakban ("info.hta") és szöveges fájlokban ("info.txt"). A szöveges fájlok titkosított könyvtárakba és az asztalra kerültek. A feljegyzések tartalma arra utal, hogy a GrafGrafel kifejezetten cégeket céloz meg, nem pedig egyéni felhasználókat, kettős zsarolási taktikát alkalmazva.

Mind a felugró, mind a szöveges fájlok azonos üzeneteket tartalmaznak, amelyek szerint az áldozat fájljai titkosítottak, és az érzékeny cégadatokat kiszűrték. A támadók váltságdíjat követelnek, és azzal fenyegetőznek, hogy kiszivárogtatják az ellopott információkat, és elérhetetlenné teszik a zárolt adatokat, ha követeléseiket nem teljesítik. A feljegyzések hangsúlyozzák a vállalati adatok kiszivárogtatásának kockázatát, és megemlítik a váltságdíj 30%-os csökkentését, ha az áldozat 6 órán belül felveszi a kapcsolatot a kiberbûnözõkkel.

A fizetés előtt az áldozatnak lehetősége van néhány kisebb fájlon tesztelni a visszafejtést. Az üzenetek figyelmeztetnek az olyan műveletekre, amelyek tartós adatvesztést okozhatnak, mint például a rendszer újraindítása vagy leállítása, az érintett fájlok átnevezése/másolása/áthelyezése vagy módosítása, harmadik féltől származó visszafejtő eszközök használata, valamint a helyreállítási cégek vagy hatóságok megkeresése.

A GrafGrafel Ransom Note több szövegoldalt ölel fel

A GrafGrafel váltságdíj teljes szövege a következő:

ATTENTION

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Amivel szembe kell néznie, ha adatai a feketepiacra kerülnek:
Alkalmazottainak és ügyfeleinek személyes adatai felhasználhatók kölcsönszerzéshez vagy online áruházakban történő vásárlásokhoz.
Cége ügyfelei beperelhetik Önt bizalmas információk kiszivárogtatása miatt.
Miután más hackerek személyes adatokat szereznek meg az Ön alkalmazottairól, a social engineering alkalmazására kerül sor, és a későbbi támadások csak fokozódnak.
A banki adatok és az útlevelek felhasználhatók bankszámlák és online pénztárcák létrehozására, amelyeken keresztül bűnügyi pénzek mosására kerül sor.
Örökre elveszíti a hírnevét.
Hatalmas pénzbírságot szab ki rád a kormány.
Az adatvesztésért való felelősségről itt tudhat meg többet: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulation vagy itt hxxps://gdpr-info.eu
A bíróságok, a bírságok és a fontos fájlok használatának képtelensége hatalmas veszteségekhez vezet. Ennek következményei visszafordíthatatlanok lesznek az Ön számára.
A rendőrséghez fordulás nem menti meg Önt ezektől a következményektől, az elveszett adatok pedig csak rontják helyzetét.

Hogyan léphet kapcsolatba velünk
Írjon nekünk a GrafGrafel@tutanota.com e-mail címre
Felveheti a kapcsolatot online szolgáltatónkkal táviratban: @GROUNDINGCONDUCTOR (VIGYÁZAT A HAMISÍTÁSRA)
Töltse le a (Session) messengert hxxps://getsession.org a messengerben: ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Írja be ezt az azonosítót az üzenet címébe -
HA AZ ELSŐ 6 ÓRÁBAN FELVESZ VELÜNK KAPCSOLATOT, és 24 órán belül lebonyolítjuk üzletünket, AZ ÁR CSAK 30% LESZ.
(Az idő mindkettőnk számára pénz, ha törődsz az időnkkel, mi is így tesszük, mi gondoskodunk az árról, és a visszafejtési folyamat NAGYON GYORSAN megtörténik)
A fizetés után MINDEN LETÖLTÖTT ADAT TÖRLÉSE.

Mit ne tegyen, és ajánlás
Ebből a helyzetből minimális veszteséggel kerülhetsz ki (A mi pénzünk a hírnevünk!) !!! Ehhez szigorúan be kell tartania a következő szabályokat:
Fájlokat NE MÓDOSÍTS, NE nevezzen át, NE másoljon, NE helyezzen át. Az ilyen műveletek SÉRÜLHETNEK bennük, és a visszafejtés lehetetlen lesz.
NE használjon harmadik féltől származó vagy nyilvános visszafejtő szoftvert, mert az a fájlokat is KÁROSÍTHATJA.
NE állítsa le vagy indítsa újra a rendszert, mert ez KÁROSÍTHATJA a fájlokat.
NE alkalmazzon harmadik fél tárgyalópartnereket (helyreállítás/rendőrség stb.) A lehető leghamarabb kapcsolatba kell lépnie velünk, és meg kell kezdenie a tárgyalásokat.
Tesztre küldhetsz nekünk 1-2 kisebb adatot, nem értéket, mi visszafejtjük és visszaküldjük.
Fizetés után legfeljebb 2 órára van szükségünk az összes adat visszafejtéséhez. Támogatást nyújtunk mindaddig, amíg a teljes visszafejtés meg nem történik! ! ! (A hírnevünk a pénzünk!)

Útmutató csapatunkkal való kapcsolatfelvételhez:
Töltse le a (Session) messengert (hxxps://getsession.org) a messengerben: ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram : @GROUNDINGCONDUCTOR (VIGYÁZAT A HAMISÍTÁSRA)
MAIL: GrafGrafel@tutanota.com

Mi az a ransomware klónok Phobos családja?

A Phobos egy olyan zsarolóvírus-család, amelyről ismert, hogy Windows rendszereket céloz meg. Úgy tervezték, hogy a fertőzött rendszeren lévő fájlokat titkosítsa, így a felhasználó számára elérhetetlen legyen, majd váltságdíjat követel a visszafejtési kulcsért cserébe. A Phobos ransomware családot az jellemzi, hogy a titkosított fájlokhoz adott fájlkiterjesztést használ, ami gyakran a ransomware változat nevét tükrözi.

A Phobos által szállított váltságdíj-jegyzetek általában utasításokat tartalmaznak arra vonatkozóan, hogy az áldozat hogyan fizetheti ki a váltságdíjat, hogy megszerezze a visszafejtési kulcsot. A Phobos arról ismert, hogy kettős zsarolási taktikát alkalmaz, ahol a fájlok titkosítása mellett érzékeny adatokat is kiszűrhet a feltört rendszerből. A Phobos mögött álló fenyegetés szereplői ezután tőkeáttételként használják fel az ellopott adatokat, és azzal fenyegetőznek, hogy közzéteszik azokat, hacsak nem fizetik ki a váltságdíjat.

Fontos megjegyezni, hogy a Phobos ransomware családon belül számos változat és klón létezik, mindegyiknek megvan a maga sajátos jellemzői és működési módja. Ezeket a változatokat idővel különböző kiberbűnözői csoportok vezethetik be vagy módosíthatják. A zsarolóvírusok fejlődő természete miatt a kiberbiztonsági szakértők és a víruskereső cégek folyamatosan dolgoznak a Phobos családdal és más zsarolóprogram-törzsekkel kapcsolatos fenyegetések észlelésén és enyhítésén. A biztonsági szoftverek rendszeres frissítése, a jó kiberbiztonsági higiénia gyakorlása és a biztonságos biztonsági mentési gyakorlatok betartása elengedhetetlen a zsarolóvírus-támadások kockázatának és hatásának minimalizálásához.