Cos'è DarkBit ransomware?

Durante le indagini su nuovi ceppi di malware, il nostro team si è imbattuto in DarkBit, un ransomware che opera crittografando i dati e chiedendo riscatti per la decrittazione. Dopo aver avviato un campione di DarkBit, inizia immediatamente a crittografare i file ea rinominarli con una stringa di caratteri casuale e l'estensione ".Darkbit".

Una volta completato il processo di crittografia, DarkBit ha creato una richiesta di riscatto denominata "RECOVERY_DARKBIT.txt" e l'ha lasciata sul desktop. A differenza di altre richieste di riscatto, il messaggio di DarkBit è iniziato con uno sproloquio politico, il che implica che il ransomware era destinato a prendere di mira grandi entità come le aziende anziché gli utenti domestici.

Secondo la nota di riscatto, i file sono stati crittografati utilizzando l'algoritmo crittografico AES-256 e i dati sensibili sono stati esfiltrati. La nota mette in guardia le vittime dall'utilizzo di strumenti o servizi di recupero di terze parti, che potrebbero causare la perdita permanente dei dati.

Gli aggressori richiedono un riscatto di 80 BTC (criptovaluta Bitcoin) per le chiavi/strumenti di decrittazione, che equivale a circa 1,7 milioni di dollari (a seconda dei tassi di cambio). L'importo del riscatto è indicativo del fatto che il ransomware in genere non viene sfruttato contro gli utenti domestici. La nota indica anche che se non viene intrapresa alcuna azione entro 48 ore, l'importo del riscatto aumenterà del 30% e cinque giorni dopo, gli aggressori metteranno in vendita i dati rubati.

La nota di riscatto DarkBit diventa politica

Il testo completo del file "RECOVERY_DARKBIT.txt" che contiene la richiesta di riscatto è il seguente:

Cari colleghi,
Siamo spiacenti di informarti che abbiamo dovuto hackerare completamente la rete Technion e trasferire "tutti" i dati ai nostri server sicuri.
Quindi, mantieni la calma, fai un respiro e pensa a un regime di apartheid che causa problemi qua e là.
Dovrebbero pagare per le loro bugie e crimini, i loro nomi e le loro vergogne. Dovrebbero pagare per l'occupazione, i crimini di guerra contro l'umanità,
uccidendo le persone (non solo i corpi dei palestinesi, ma anche le anime degli israeliani) e distruggendo il futuro e tutti i sogni che avevamo.
Dovrebbero pagare per licenziare esperti altamente qualificati.

Ad ogni modo, non c'è nulla per te (come individuo) di cui preoccuparti.
È compito dell'amministrazione seguire le nostre istruzioni per il recupero della rete.
Tuttavia, puoi contattarci tramite TOX messenger se desideri recuperare i tuoi file personalmente. (ID TOX: AB33BC51AFAC64D98226826E70B483593C81CB22E6A3B504F7A75348C38C862F00042F5245AC)

Le nostre istruzioni per l'amministrazione:
Tutti i tuoi file sono crittografati utilizzando l'algoritmo di livello militare AES-256. COSÌ,

1. Non tentare di recuperare i dati, perché i file crittografati sono irrecuperabili a meno che tu non abbia la chiave.
   Qualsiasi tentativo di recuperare i dati senza la chiave (utilizzando applicazioni/aziende di terze parti) provoca danni PERMANENTI. Prendilo sul serio.
2. Devi fidarti di noi. Questa è la nostra attività (dopo il licenziamento da società high-tech) e la reputazione è tutto ciò che abbiamo.
3. Tutto quello che devi fare è seguire la procedura di pagamento e quindi riceverai la chiave di decrittazione utilizzata per restituire tutti i tuoi file e VM.
4. Metodo di pagamento:
   Inserisci il link qui sotto
   hxxp://iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion/support

Inserisci l'ID qui sotto e paga il conto (80 BTC)

Riceverai la chiave di decrittazione dopo il pagamento.

Nota che hai solo 48 ore. Dopo la scadenza, al prezzo verrà aggiunta una penale del 30%.
Mettiamo in vendita i dati dopo 5 giorni.
Prendilo sul serio e non ascoltare i probabili consigli di uno stupido governo.

Buona fortuna!
Darkbit

Perché alcune varianti di ransomware come DarkBit scelgono di prendere di mira le aziende piuttosto che gli utenti domestici?

Secondo la richiesta di riscatto lasciata da DarkBit, sembra prendere di mira grandi entità come le aziende piuttosto che gli utenti domestici. Sebbene le motivazioni esatte degli autori di ransomware possano variare, una possibile ragione per prendere di mira le aziende è il potenziale per maggiori pagamenti. Le aziende possono disporre di dati più preziosi o sensibili rispetto ai singoli utenti e potrebbero essere disposte a pagare un riscatto maggiore per evitare l'interruzione e la potenziale responsabilità legale che potrebbero derivare da una violazione dei dati. Inoltre, le aziende potrebbero disporre di misure di sicurezza meno solide rispetto agli utenti domestici, rendendole più vulnerabili agli attacchi. Tuttavia, è importante notare che qualsiasi organizzazione o individuo può essere bersaglio di un attacco ransomware, indipendentemente dalle dimensioni o dal settore.