Ebaka Ransomware è basato sul codice Phobos

Durante l'esame di recenti campioni di malware, il nostro team di ricerca si è imbattuto nel ransomware Ebaka, che fa parte della famiglia di ransomware Phobos. Ebaka è stato progettato per crittografare i file e richiede un pagamento in cambio della loro decrittazione.

Sul nostro sistema di test, questo software dannoso ha alterato i file tramite crittografia, modificandone i nomi. I titoli originali erano stati estesi con un ID distintivo assegnato alla vittima, l'indirizzo email dei criminali informatici e l'estensione ".ebaka". Ad esempio, un file originariamente denominato "1.jpg" è stato trasformato in "1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka".

Una volta completato questo processo, Ebaka ha generato richieste di riscatto e le ha inserite sul desktop e in tutte le directory crittografate. Una nota appariva come una finestra pop-up ("info.hta"), mentre l'altra era un file di testo ("info.txt"). Il file di testo trasmette il messaggio che i file della vittima sono stati crittografati e la invita a contattare gli aggressori per la decrittografia.

Il contenuto della richiesta di riscatto mostrata nella finestra pop-up fornisce ulteriori dettagli sull'infezione, specificando che la decrittazione richiede il pagamento di un riscatto in criptovaluta Bitcoin. L'importo del pagamento dipende presumibilmente dalla rapidità con cui la vittima entra in contatto con i criminali informatici.

Prima di soddisfare le richieste di riscatto, la vittima ha la possibilità di testare la decrittazione inviando agli aggressori fino a cinque file crittografati, soggetti a determinate limitazioni. Il messaggio mette inoltre in guardia contro la modifica dei file bloccati o l'utilizzo di strumenti di decrittazione di terze parti, poiché tali azioni potrebbero comportare la perdita permanente dei dati. Inoltre, la vittima viene avvertita che chiedere assistenza a terzi potrebbe aumentare le perdite finanziarie.

Nota di riscatto di Ebaka per intero

Il testo completo della richiesta di riscatto di Ebaka recita quanto segue:

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Decrittazione gratuita come garanzia
Prima di pagare puoi inviarci fino a 5 file per la decrittazione gratuita. La dimensione totale dei file deve essere inferiore a 4 Mb (non archiviati) e i file non devono contenere informazioni preziose. (database, backup, fogli Excel di grandi dimensioni, ecc.)

Come ottenere Bitcoin
Il modo più semplice per acquistare bitcoin è il sito LocalBitcoins. Devi registrarti, fare clic su "Acquista bitcoin" e selezionare il venditore in base al metodo di pagamento e al prezzo.
hxxps://localbitcoins.com/buy_bitcoins
Inoltre puoi trovare altri posti dove acquistare Bitcoin e una guida per principianti qui:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attenzione!
Non rinominare i file crittografati.
Non tentare di decrittografare i tuoi dati utilizzando software di terze parti, potrebbe causare la perdita permanente dei dati.
La decrittazione dei tuoi file con l'aiuto di terze parti potrebbe causare un aumento del prezzo (aggiungono la loro tariffa alla nostra) o potresti diventare vittima di una truffa.

Come può il ransomware infettare il tuo computer?

Il ransomware può infettare il tuo computer in vari modi e gli aggressori spesso utilizzano tattiche di ingegneria sociale per indurre gli utenti a scaricare o eseguire codice dannoso. Ecco alcuni metodi comuni con cui il ransomware può infettare un computer:

E-mail di phishing:
Allegati e-mail: i criminali informatici spesso inviano e-mail di phishing con allegati dannosi, come documenti Word o file PDF infetti. Quando l'utente apre l'allegato, il ransomware viene eseguito.
Collegamenti dannosi: le e-mail di phishing possono contenere collegamenti a siti Web falsi che ospitano ransomware. Facendo clic su questi collegamenti è possibile attivare il download e l'installazione del ransomware sul tuo computer.

Siti Web dannosi:
Visitare siti Web compromessi o dannosi può esporre il tuo computer a download drive-by, in cui malware, incluso il ransomware, vengono automaticamente scaricati ed eseguiti a tua insaputa.

Malvertising:
I criminali informatici possono compromettere le reti pubblicitarie online legittime e inserire annunci pubblicitari dannosi (malvertisement) sui siti web. Fare clic su questi annunci può portare al download di ransomware.

Kit di exploit:
I kit di exploit sono toolkit dannosi che sfruttano le vulnerabilità del software o dei browser. Se il tuo sistema non è aggiornato con le ultime patch di sicurezza, un kit di exploit può sfruttare queste vulnerabilità per diffondere ransomware.

Attacchi RDP (Remote Desktop Protocol):
Gli aggressori potrebbero tentare di ottenere l'accesso non autorizzato al tuo computer sfruttando password deboli o predefinite su Remote Desktop Protocol. Una volta entrati, possono distribuire ransomware.