Il ransomware 3AM blocca i file delle vittime

3AM è un programma ransomware codificato nel linguaggio di programmazione Rust. Il suo obiettivo principale è crittografare i file. Una volta completato il processo di crittografia, tenta di cancellare le copie Shadow del volume (VSS). Inoltre, 3AM aggiunge l'estensione ". threeamtime" ai nomi dei file crittografati e presenta un messaggio di riscatto denominato "RECOVER-FILES.txt".

Per illustrare come 3AM altera i nomi dei file, trasforma "1.jpg" in "1.jpg.treamtime", "2.png" in "2.png.treamtime" e così via. La richiesta di riscatto contenuta nel file "RECOVER-FILES.txt" informa le vittime che i loro file sono stati crittografati e che i loro sistemi potrebbero apparire non operativi con i backup non più accessibili. La nota sconsiglia vivamente di tentare l'autoripristino, evidenziando il rischio di ulteriore perdita di dati e danni irrecuperabili.

Inoltre, la nota rivela che sono stati rubati dati sensibili da una rete locale, compresi registri finanziari, dettagli personali, documenti relativi al lavoro e altro ancora, con la garanzia di riservatezza per evitare danni alle imprese. La nota suggerisce di avviare trattative per impedire la vendita di dati nel dark web, fornendo informazioni di contatto tramite il browser Tor e facendo riferimento ad una chiave di accesso per la trattativa.

La nota di riscatto delle 3 del mattino non menziona la somma del riscatto

Il testo completo della richiesta di riscatto delle 3 del mattino è il seguente:

Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of life", the backups disappeared. But we can correct this very quickly and return all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their damage and the impossibility of recovery. We are not recommended to you to do it on our own!!! (or do at your own peril and risk).

There is another important point: we stole a fairly large amount of sensitive data from your local network: financial documents; personal information of your employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business. Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.

Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how they will be used.

Please contact us as soon as possible, using Tor-browser:

Access key:

Come viene distribuito il ransomware tipo 3AM?

Il ransomware come 3AM viene generalmente distribuito attraverso vari metodi e vettori di attacco. Ecco alcuni metodi di distribuzione comuni:

• E-mail di phishing: i criminali informatici spesso utilizzano e-mail di phishing per distribuire ransomware. Inviano e-mail dannose che sembrano legittime, spesso spacciandosi per entità attendibili o utilizzando oggetti allettanti. Queste e-mail contengono allegati o collegamenti dannosi che, se cliccati o aperti, scaricano ed eseguono il ransomware sul dispositivo della vittima.
• Allegati dannosi: il ransomware può essere diffuso tramite allegati e-mail, come documenti infetti (ad esempio file Word o PDF) o file eseguibili (ad esempio file .exe o .js). Quando la vittima apre questi allegati, viene attivato il payload del ransomware.
• Malvertising: annunci pubblicitari dannosi (malvertising) su siti Web o annunci online possono portare gli utenti a siti Web che ospitano kit di exploit. Questi kit possono sfruttare le vulnerabilità del browser Web o dei plug-in della vittima per distribuire ransomware.
• Download drive-by: i criminali informatici possono compromettere siti Web legittimi e inserirvi codice dannoso. Quando gli utenti visitano questi siti compromessi, i loro dispositivi possono essere infettati senza che sia richiesta alcuna interazione.
• Attacchi RDP (Remote Desktop Protocol): se il protocollo RDP è abilitato e non adeguatamente protetto sul sistema della vittima, gli aggressori potrebbero tentare di ottenere l'accesso indovinando password deboli o utilizzando attacchi di forza bruta. Una volta entrati, possono distribuire manualmente il ransomware.
• Vulnerabilità del software: gli autori di ransomware possono sfruttare vulnerabilità note nei sistemi operativi o nel software per ottenere l'accesso al sistema di una vittima. Mantenere aggiornati software e sistemi con patch di sicurezza può aiutare a mitigare questo rischio.
• Collegamenti dannosi: i criminali informatici possono anche distribuire ransomware attraverso tattiche di ingegneria sociale su social media, piattaforme di messaggistica istantanea o inducendo gli utenti a fare clic su collegamenti dannosi.
• USB e supporti rimovibili: il ransomware può diffondersi tramite unità USB infette o altri supporti rimovibili. Quando un utente inserisce un'unità infetta nel proprio computer, il ransomware può essere eseguito e iniziare a crittografare i file.