DoctorHelp ransomware basato su MedusaLocker

Il nostro team ha scoperto DoctorHelp, un software dannoso classificato come ransomware, appartenente alla famiglia MedusaLocker. L'obiettivo principale di DoctorHelp è crittografare i file.

Inoltre, DoctorHelp genera una richiesta di riscatto intitolata "How_to_back_files.html" e aggiunge l'estensione ".doctorhelp" ai nomi dei file. Ad esempio, modifica "1.jpg" in "1.jpg.doctorhelp" e "2.png" in "2.png.doctorhelp" e così via. La richiesta di riscatto comunica esplicitamente che i file essenziali di proprietà della vittima sono stati sottoposti a crittografia. I criminali informatici assicurano alla vittima che i file rimangono intatti ma hanno subito modifiche utilizzando la crittografia RSA e AES. La nota sconsiglia vivamente di tentare il ripristino dei file con software di terze parti, sostenendo che tali sforzi comporterebbero una corruzione irreversibile.

Gli autori delle minacce affermano di aver ottenuto dati altamente riservati e personali attualmente archiviati su un server privato. Presumibilmente questo server è impostato per la distruzione immediata al ricevimento del pagamento. In assenza di pagamento, la banconota minaccia di divulgare i dati acquisiti al pubblico o ai potenziali acquirenti, ponendo un rischio imminente di esposizione pubblica.

Inoltre, gli aggressori propongono un accordo in base al quale la vittima può inviare 2-3 file non essenziali per la decrittazione gratuita come dimostrazione della propria capacità di ripristinare i file dietro pagamento. La richiesta di riscatto fornisce i dettagli di contatto (indirizzi email doctorhelperss@gmail.com e helpersdoctor@outlook.com) e consiglia alla vittima di creare un account email su protonmail.com per la comunicazione.

È previsto un termine di 72 ore, accompagnato da un avvertimento che il mancato avvio del contatto entro questo lasso di tempo comporterà un aumento della richiesta di riscatto. Il messaggio si conclude con il suggerimento di utilizzare Tor-chat per la comunicazione continua, sottolineando l'impegno dei criminali a mantenere i contatti durante tutto il processo di negoziazione.

DoctorHelp Ransom Note promette la decrittazione di alcuni file

Il testo completo della richiesta di riscatto DoctorHelp è il seguente:

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Nessun software disponibile su Internet può aiutarti. Siamo gli unici in grado di farlo
risolvere il tuo problema.

Abbiamo raccolto dati altamente riservati/personali. Questi dati sono attualmente archiviati su
un server privato. Questo server verrà immediatamente distrutto dopo il pagamento.
Se decidi di non pagare, rilasceremo i tuoi dati al pubblico o al rivenditore.
Quindi puoi aspettarti che i tuoi dati siano disponibili pubblicamente nel prossimo futuro.

Cerchiamo solo denaro e il nostro obiettivo non è danneggiare la tua reputazione o prevenirla
la tua attività dalla corsa.

Potrai inviarci 2-3 file non importanti e noi li decodificheremo gratuitamente
per dimostrare che siamo in grado di restituire i tuoi file.

Contattaci per il prezzo e ottieni il software di decrittazione.

e-mail:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
Per contattarci, crea un nuovo account email gratuito sul sito: protonmail.com
SE NON CI CONTATTATE ENTRO 72 ORE, IL PREZZO SARÀ PIÙ ALTO.

Tor-chat per essere sempre in contatto:

In che modo i criminali distribuiscono il ransomware online?

I criminali utilizzano vari metodi per distribuire ransomware online, sfruttando le vulnerabilità e sfruttando il comportamento umano. Ecco alcune tattiche comuni utilizzate dai criminali informatici per distribuire il ransomware:

E-mail di phishing:
I criminali informatici spesso utilizzano e-mail di phishing per distribuire ransomware. Inviano e-mail che sembrano legittime, spesso imitano entità o servizi attendibili e includono allegati o collegamenti dannosi. Facendo clic su questi allegati o collegamenti è possibile attivare il download e l'esecuzione del ransomware.

Collegamenti e siti Web dannosi:
I criminali creano siti Web dannosi o inseriscono codice dannoso in siti Web legittimi. Gli utenti potrebbero essere indirizzati a questi siti tramite e-mail di phishing, annunci compromessi o altre tattiche ingannevoli. La visita di tali siti può portare al download e all'installazione automatici del ransomware.

Kit di exploit:
I kit di exploit sono toolkit che contengono codice già scritto per sfruttare le vulnerabilità del software. I criminali informatici utilizzano questi kit per prendere di mira il software obsoleto sul sistema di un utente. Quando un utente visita un sito Web compromesso o fa clic su un collegamento dannoso, l'exploit kit identifica e sfrutta le vulnerabilità, consentendo la distribuzione e l'esecuzione del ransomware.

Malvertising:
Il malvertising implica l'inserimento di codice dannoso negli annunci pubblicitari online. Quando gli utenti fanno clic su questi annunci o visitano i siti Web che li ospitano, il codice dannoso può sfruttare le vulnerabilità del browser o dei plug-in dell'utente per distribuire ransomware.

Ingegneria sociale:
I criminali informatici utilizzano tecniche di ingegneria sociale per manipolare gli utenti e indurli a intraprendere azioni che portano all'infezione da ransomware. Ciò può comportare l'inganno degli utenti a scaricare ed eseguire file dannosi o a fare clic su collegamenti attraverso tattiche ingannevoli, come avvisi falsi, avvisi o offerte allettanti.