Il ransomware AttackFiles appartiene alla famiglia MedusaLocker
Durante l'esame dei nuovi file, il nostro team di ricerca si è imbattuto nel programma dannoso AttackFiles, associato alla famiglia di ransomware MedusaLocker. Questo tipo di software è realizzato per crittografare i file, richiedendo un riscatto per la loro decrittazione.
Quando abbiamo eseguito un campione di AttackFiles nel nostro ambiente di test, ha crittografato i file e aggiunto l'estensione ".attackfiles" ai loro nomi. Ad esempio, un file denominato "1.jpg" diventerebbe "1.jpg.attackfiles" e "2.png" diventerebbe "2.png.attackfiles" e così via.
Dopo aver completato il processo di crittografia, questo ransomware ha generato una richiesta di riscatto intitolata "How_to_back_files.html". La nota si riferisce al sistema infetto come a una "rete aziendale", indicando che gli obiettivi non sono singoli utenti domestici. Nella richiesta di riscatto, AttackFiles afferma che la rete aziendale della vittima è stata violata, che i file sono stati crittografati utilizzando algoritmi crittografici RSA e AES e che sono stati rubati dati personali e riservati.
Per recuperare i file crittografati, alla vittima viene chiesto di pagare un riscatto. Se la vittima rifiuta di conformarsi, il contenuto rubato verrà divulgato o venduto. Prima di soddisfare le richieste di riscatto, la capacità di decrittazione può essere testata gratuitamente su 2-3 file. La nota mette inoltre in guardia contro azioni che potrebbero comportare la perdita permanente di dati.
Nota di riscatto completa di AttackFiles
Il testo completo della richiesta di riscatto di AttackFiles recita come segue:
YOUR PERSONAL ID:
YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!Your files are safe! Only modified. (RSA+AES)
ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.No software available on internet can help you. We are the only ones able to solve your problem.
We gathered highly confidential/personal data. These data are currently stored on a private server. This server will be immediately destroyed after your payment.
If you decide to not pay, we will release your data to public or re-seller.
So you can expect your data to be publicly available in the near future..We only seek money and our goal is not to damage your reputation or prevent
your business from running.You will can send us 2-3 non-important files and we will decrypt it for free to prove we are able to give your files back.
Contact us for price and get decryption software.
email:
crypt2024_tm123@outlook.com
crypt2024_tm123@outlook.comTo contact us, create a new free email account on the site: protonmail.com
IF YOU DON'T CONTACT US WITHIN 72 HOURS, PRICE WILL BE HIGHER.
Come viene solitamente distribuito il ransomware online?
Il ransomware viene generalmente distribuito online attraverso vari metodi, tra cui:
E-mail di phishing: gli aggressori inviano e-mail con allegati o collegamenti dannosi, mascherati da messaggi legittimi, provenienti da fonti attendibili come banche, compagnie di spedizioni o agenzie governative. Una volta aperto l'allegato o cliccato sul collegamento, il ransomware viene scaricato sul sistema della vittima.
Malvertising: annunci pubblicitari dannosi (malvertisement) su siti Web legittimi possono contenere script che reindirizzano gli utenti a siti Web che ospitano ransomware o scaricano direttamente il ransomware sul dispositivo dell'utente a loro insaputa.
Kit di exploit: si tratta di pacchetti software preconfezionati che contengono vari exploit che prendono di mira le vulnerabilità di software o sistemi operativi obsoleti. Quando un utente visita un sito Web compromesso, l'exploit kit esegue la scansione del sistema alla ricerca di vulnerabilità e distribuisce payload ransomware.
Attacchi RDP (Remote Desktop Protocol): gli aggressori sfruttano password deboli o predefinite sui servizi RDP per ottenere accesso non autorizzato ai sistemi. Una volta entrati, distribuiscono il ransomware direttamente nella rete.
Download drive-by: si verifica quando un utente visita un sito Web compromesso o dannoso e il malware viene automaticamente scaricato e installato nel suo sistema senza il suo consenso o senza che ne sia a conoscenza.
Condivisione di file peer-to-peer (P2P): il ransomware può essere distribuito tramite software pirata, giochi o file multimediali condivisi su reti P2P. Gli aggressori possono mascherare i ransomware come file legittimi per indurre gli utenti a scaricarli ed eseguirli.
Collegamenti dannosi nelle app di chat e nei social media: gli aggressori possono distribuire ransomware tramite collegamenti condivisi nelle applicazioni di chat o nelle piattaforme di social media, invogliando gli utenti a fare clic su di essi con messaggi o offerte allettanti.
Attacchi Watering Hole: con questo metodo gli aggressori compromettono i siti Web visitati di frequente dal loro pubblico di destinazione. Quando gli utenti visitano questi siti compromessi, vengono inconsapevolmente esposti al ransomware.
Questi sono solo alcuni esempi di come il ransomware può essere distribuito online. Gli aggressori evolvono costantemente le loro tattiche per aggirare le misure di sicurezza e sfruttare le vulnerabilità, rendendo fondamentale per gli utenti e le organizzazioni rimanere vigili e adottare solide pratiche di sicurezza informatica.
