AeR Ransomware è basato sul codice Dharma
AeR, un programma dannoso affiliato alla famiglia di ransomware Dharma, crittografa i file e richiede un riscatto per la loro decrittazione.
AeR crittografa i file e ne modifica i nomi aggiungendo un ID univoco assegnato alla vittima, l'indirizzo email dei criminali informatici e un'estensione ".AeR". Per illustrare, un file originariamente etichettato "1.jpg" si trasforma in "1.jpg.id-9ECFA84E.[aerossh@nerdmail.co].AeR."
Successivamente, il ransomware genera due richieste di riscatto separate. Sul desktop e nelle directory interessate vengono depositati file di testo con il nome "info.txt", mentre l'altro messaggio appare come una finestra pop-up.
Il file di testo di AeR incoraggia innanzitutto la vittima a stabilire un contatto con i criminali informatici responsabili dell'attacco. La finestra pop-up fornisce ulteriori informazioni, spiegando che i file della vittima sono stati crittografati.
Vengono fornite garanzie sulla possibilità di recupero dei dati, con la conseguenza che la decrittazione richiede il pagamento di un riscatto in criptovaluta Bitcoin. La vittima ha la possibilità di testare gratuitamente la decrittazione di un massimo di tre file (entro i parametri specificati). Il pop-up si conclude con avvisi espliciti.
La nota di riscatto AeR utilizza il modello Dharma
Il testo completo della richiesta di riscatto generata dal ransomware AeR è il seguente:
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: aerossh@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:aerossh@proton.meFree decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/Attenzione!
Non rinominare i file crittografati.
Non tentare di decrittografare i tuoi dati utilizzando software di terze parti, potrebbe causare la perdita permanente dei dati.
La decrittazione dei tuoi file con l'aiuto di terze parti potrebbe causare un aumento del prezzo (aggiungono la loro tariffa alla nostra) o potresti diventare vittima di una truffa.
In che modo il ransomware crittografa i dati e li rende inaccessibili?
Il ransomware crittografa i dati per renderli inaccessibili attraverso un processo che coinvolge sofisticati algoritmi di crittografia. Ecco una panoramica di come ciò si verifica in genere:
Infiltrazione: il ransomware ottiene l'accesso a un computer o a una rete attraverso vari mezzi, come e-mail di phishing, allegati dannosi, siti Web compromessi o sfruttamento delle vulnerabilità del software. Una volta dentro, inizia il processo di crittografia.
Esecuzione: dopo aver ottenuto l'accesso, il ransomware esegue il proprio codice sul sistema della vittima. Ciò spesso comporta la creazione di più copie di se stesso e l’avvio di processi che gli consentono di operare di nascosto.
Individuazione dei file: il ransomware esegue la scansione del sistema della vittima per identificare tipi di file o directory specifici che intende crittografare. Alcune varianti di ransomware prendono di mira un'ampia gamma di tipi di file, mentre altre si concentrano su dati specifici, come documenti, immagini o database.
Crittografia: il ransomware utilizza algoritmi di crittografia forti e tipicamente asimmetrici, come RSA o AES, per crittografare i file identificati. La crittografia asimmetrica prevede una coppia di chiavi: una chiave pubblica per crittografare i dati e una chiave privata, detenuta dall’aggressore, per decrittografarli. Ciò garantisce che solo l'aggressore possa decrittografare i file.
Modifica dei file: una volta crittografati, il ransomware spesso modifica i nomi dei file e aggiunge un'estensione di file specifica per indicare che i file sono ora sotto il suo controllo. La vittima potrebbe anche ricevere una richiesta di riscatto che spiega la situazione e fornisce istruzioni su come pagare per ottenere la chiave di decrittazione.
Comunicazione con il server di comando e controllo (C2): in alcuni casi, il ransomware comunica con un server di comando e controllo controllato dall'aggressore. Questa comunicazione può comportare l'invio di informazioni sul sistema infetto e la ricezione di istruzioni su come procedere con la richiesta di riscatto.
