Trash Panda Ransomware mostra una nota di riscatto insolita

Durante il nostro esame di routine dei recenti invii di file, il nostro gruppo di ricerca si è imbattuto nella variante del ransomware Trash Panda. Questo particolare software dannoso è stato scoperto come parte dei nostri continui sforzi per indagare sulle minacce emergenti.

Dopo aver eseguito un campione di Trash Panda nel nostro ambiente di test controllato, il programma ha prontamente avviato la sua routine di crittografia dei dati. Di conseguenza, i nomi dei file sono stati modificati con l'aggiunta di un'estensione ".monochrome". Ad esempio, un file denominato "1.jpg" è stato rapidamente trasformato in "1.jpg.monochrome", mentre "2.png" è diventato "2.png.monochrome" e così via. Una volta che questo processo di crittografia ha raggiunto la sua conclusione, è stata generata una richiesta di riscatto di accompagnamento denominata "[random_string]-readme.html".

La nota di riscatto utilizzata da Trash Panda trasmette il messaggio angosciante che i file della vittima sono stati crittografati in modo sicuro. La nota prosegue sostenendo di contattare gli attori malintenzionati dietro l'attacco per avviare il processo di recupero dei dati compromessi. È incluso un avvertimento cruciale, sottolineando che il mancato contatto con i criminali informatici prima che il conto alla rovescia raggiunga lo zero comporterà la cancellazione permanente della chiave di decrittazione, rendendo di fatto inutile qualsiasi tentativo di ripristino dei dati.

Trash Panda Nota di riscatto allude al conflitto militare

Il testo completo del ransomware Trash Panda utilizza il leet-speak, sostituendo le lettere con i numeri e si riferisce a una sorta di conflitto armato senza menzionare nulla di specifico. La nota recita quanto segue:

Il Team Trash Panda era qui

Tutti i tuoi file sono stati cestinati dal nostro

7r45H P4ND4 Asomeware

Facciamo un D341. Libera la nostra gente. Liberiamo i tuoi dati.

Non tentare di recuperare alcun file. Tutti i file sono stati cestinati utilizzando uno standard di crittografia molto avanzato stabilito dal National Institute of Standards and Technology (NIST) degli Stati Uniti. Puoi controllare il seguente link per sapere come i tuoi file sono stati cestinati. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard

Non ci interessano i tuoi dati. Non ci interessano i soldi. Vogliamo che la nostra famiglia ritorni da noi e che TU FUORI DALLA NOSTRA MADRE.

Oh, a proposito, hai poco tempo per prendere una decisione. Elimineremo la chiave principale dopo la scadenza del conto alla rovescia. Sbrigati ~ Sbrigati ~

LA TUA CHIAVE SARÀ ELIMINATA DOPO
(conto alla rovescia)

Puoi contattarci a -

Se vuoi indietro i tuoi file, inserisci la seguente chiave nel modulo di input. Ti contatteremo più tardi

In che modo il ransomware Like Trash Panda viene distribuito online?

La distribuzione di ransomware come Trash Panda in genere comporta una varietà di tattiche e tecniche progettate per sfruttare vulnerabilità, comportamenti degli utenti e debolezze tecnologiche. Sebbene non disponga di informazioni specifiche sui metodi di distribuzione di "Trash Panda" poiché la mia conoscenza è terminata a settembre 2021, posso fornirti informazioni generali su come il ransomware viene comunemente distribuito:

• E-mail di phishing: i criminali informatici spesso inviano e-mail convincenti che sembrano provenire da fonti legittime, contenenti allegati o collegamenti dannosi. Quando gli utenti interagiscono con questi allegati o collegamenti, il payload del ransomware viene scaricato ed eseguito sul loro sistema.
• Malvertising: pubblicità dannose su siti Web o reti pubblicitarie possono portare gli utenti a siti Web che ospitano ransomware. La semplice visita a un sito Web compromesso può attivare il download del ransomware sul computer della vittima.
• Download drive-by: i criminali informatici possono sfruttare le vulnerabilità di software, plug-in o componenti del browser per distribuire ransomware al sistema di un utente senza alcuna interazione da parte dell'utente. Questo è noto come download drive-by.
• Installatori di software compromessi: gli aggressori possono infiltrarsi in programmi di installazione di software legittimi, aggiungendo il payload del ransomware. Quando gli utenti scaricano e installano il software da fonti compromesse, viene installato anche il ransomware.
• Attacchi RDP (Remote Desktop Protocol): gli aggressori possono prendere di mira i sistemi con connessioni RDP deboli o non protette. Ottengono l'accesso e installano il ransomware manualmente o utilizzano strumenti automatizzati per distribuire il payload del ransomware.
• Macro dannose: le macro dannose incorporate nei documenti di Microsoft Office possono essere utilizzate per scaricare ed eseguire ransomware quando gli utenti abilitano le macro in questi documenti.