Buhti Ransomware mira alle vittime che eseguono sia Windows che Linux

Buhti è un tipo di ransomware che prende di mira sia i sistemi Windows che Linux. Mentre il payload del ransomware Buhti si concentra principalmente sui computer Windows ed è una variante del ransomware LockBit 3.0 precedentemente trapelato con alcune piccole modifiche, ha anche una versione modificata specificamente progettata per attaccare i sistemi Linux, sfruttando il ransomware Babuk trapelato.

Quando Buhti infetta un sistema, crittografa i file e sostituisce i loro nomi file originali con una stringa di caratteri casuali. Inoltre, l'ID della vittima viene aggiunto come nuova estensione per ogni file crittografato. Ad esempio, un file originariamente chiamato "1.jpg" verrebbe trasformato in "4G8of7O.fxkJts2wg", mentre "2.png" diventerebbe "HePwiFM.fxkJts2wg" e così via. Oltre a questo processo di crittografia, Buhti rilascia anche una richiesta di riscatto denominata "[ID_vittima].README.txt".

La richiesta di riscatto fornisce una spiegazione del fatto che i file della vittima sono stati crittografati utilizzando robusti algoritmi di crittografia, rendendo praticamente impossibile per loro decrittografare i dati in modo indipendente. Tuttavia, la nota afferma che esiste una soluzione disponibile per le vittime per recuperare i propri file, acquistando un programma speciale noto come decryptor. I riscattatori rassicurano le vittime che questo software di decrittazione è stato sottoposto a test approfonditi e ripristinerà con successo i loro dati.

Per riottenere l'accesso ai propri file crittografati, la nota indica alle vittime di utilizzare un browser Web e visitare un sito Web specifico. Viene quindi richiesto loro di inserire un indirizzo e-mail valido, che verrà utilizzato per ricevere un collegamento per il download per il decryptor dopo aver effettuato il pagamento. Il pagamento del riscatto viene richiesto in Bitcoin e alle vittime viene fornito un indirizzo Bitcoin specifico per la transazione.

Una volta completato il pagamento, le vittime riceveranno un'e-mail contenente un collegamento a una pagina di download. Questa pagina include istruzioni dettagliate su come utilizzare il decryptor per ripristinare i propri file. La nota di riscatto sottolinea i potenziali rischi di modificare o tentare di recuperare i file in modo indipendente, sostenendo che tali azioni non porteranno a un ripristino riuscito dei dati crittografati.

La nota di riscatto di Buhti richiede il pagamento in Bitcoin

Il testo completo della richiesta di riscatto di Buhti recita come segue:

Benvenuto in buhtiRansom

Cos'è successo?

I tuoi file sono crittografati. Utilizziamo potenti algoritmi di crittografia, quindi non puoi decrittografare i tuoi dati.
Ma puoi ripristinare tutto acquistando da noi un programma speciale: decryptor universale. Questo programma ripristinerà tutti i tuoi file.
Segui le nostre istruzioni qui sotto e recupererai tutti i tuoi dati.

Quali garanzie?

Apprezziamo la nostra reputazione. Se non facciamo il nostro lavoro e le nostre responsabilità, nessuno ci pagherà. Questo non è nel nostro interesse.
Tutto il nostro software di decrittazione è perfettamente testato e decritterà i tuoi dati.

Come ottenere l'accesso?

Utilizzando un browser:
1) Apri il sito web: hxxps://satoshidisk.com/pay/CIGsph
2) Inserisci un indirizzo email valido per ricevere il link per il download dopo il pagamento.
3) Paga l'importo all'indirizzo Bitcoin.
4) Ricevi via e-mail il link alla pagina di download.
5) Istruzioni di decrittazione incluse.

!!! PERICOLO !!!
NON MODIFICARE o tentare di RECUPERARE alcun file da soli. NON sarà in grado di RIPRISTINARE.
!!! PERICOLO !!!

In che modo il ransomware Like Buhti viene distribuito online?

I ransomware come Buhti sono in genere distribuiti online attraverso vari metodi, sfruttando le vulnerabilità e impiegando tattiche di ingegneria sociale. Ecco alcuni canali di distribuzione e tecniche comuni utilizzati da ransomware come Buhti:

• E-mail di phishing: un metodo prevalente è tramite e-mail di phishing. Gli aggressori inviano e-mail ingannevoli che sembrano legittime, spesso impersonando organizzazioni o individui affidabili. Queste e-mail possono contenere allegati infetti, come file eseguibili dannosi o documenti incorporati con malware macro. L'apertura di questi allegati attiva il processo di installazione del ransomware.
• Siti Web dannosi e download drive-by: i criminali informatici possono creare siti Web dannosi o compromettere siti Web legittimi per distribuire ransomware. Gli utenti ignari possono scaricare inconsapevolmente il ransomware visitando questi siti o facendo clic su collegamenti compromessi. I download drive-by si verificano quando il malware viene scaricato automaticamente senza il consenso o la conoscenza dell'utente.
• Kit di exploit: il ransomware può essere distribuito utilizzando kit di exploit, che sono toolkit che sfruttano le vulnerabilità nel software o nei browser web. Quando un utente visita un sito Web compromesso o fa clic su un annuncio pubblicitario dannoso, l'exploit kit esegue la scansione delle vulnerabilità e distribuisce il payload del ransomware.
• Attacchi RDP (Remote Desktop Protocol): gli aggressori prendono di mira i sistemi con connessioni Remote Desktop Protocol esposte o scarsamente protette. Impiegano attacchi di forza bruta per ottenere l'accesso non autorizzato al sistema e installare ransomware.
• Annunci pubblicitari dannosi (Malvertising): annunci pubblicitari dannosi, o malvertisements, possono essere trovati su siti Web e reti pubblicitarie legittimi. Questi annunci contengono script nascosti che reindirizzano gli utenti a siti Web che ospitano ransomware o attivano download automatici.
• Reti di condivisione file e software piratato: il software illegittimo o crackato scaricato dalle reti di condivisione file spesso viene fornito in bundle con ransomware o altro malware. Gli utenti che cercano di ottenere software o supporti senza pagare corrono il rischio di installare inavvertitamente ransomware.
• Sfruttamento delle vulnerabilità del software: gli autori di ransomware sfruttano le vulnerabilità nei sistemi operativi, nelle applicazioni o nei servizi di rete. Prendendo di mira software senza patch o obsoleti, possono ottenere l'accesso non autorizzato e distribuire il payload del ransomware.

È fondamentale mantenere aggiornato il software di sicurezza, applicare regolarmente patch e aggiornamenti del software, prestare attenzione quando si aprono allegati di posta elettronica o si fa clic su collegamenti sospetti e utilizzare password univoche e complesse per ridurre al minimo il rischio di essere vittime di attacchi ransomware.