Xrp Ransomware crittografa le unità delle vittime

Durante l'esame di nuovi campioni di malware, abbiamo riscontrato una variante di ransomware nota come Xrp, affiliata alla famiglia GlobeImposter. L'obiettivo principale di Xrp è crittografare i file, aggiungendo un indirizzo email e l'estensione ".xrp" ai nomi dei file. Inoltre, include una richiesta di riscatto ("Read_For_Restore_File.html").

Ad esempio, Xrp altera i nomi dei file come "1.jpg" in "1.jpg.[a.wyper@bejants.com].xrp" e "2.png" in "2.png.[a.wyper@bejants. com].xrp," e così via.

La richiesta di riscatto informa le vittime che i loro file sono stati sottoposti a crittografia utilizzando un robusto algoritmo RSA-2048. Afferma che il ripristino dei file è impossibile senza una chiave segreta detenuta dagli aggressori.

Per recuperare i propri dati, alle vittime viene chiesto di creare un account e-mail con protonmail.com o cock.li. La nota mette in guardia dall'utilizzare un indirizzo email standard, poiché potrebbe essere bloccato. Successivamente, le vittime vengono invitate a inviare un'e-mail dal nuovo indirizzo a a.wyper@bejants.com, includendo il loro ID.

Gli aggressori si impegnano a rispondere con ulteriori istruzioni sulla decrittografia dei file. Se non si riceve risposta entro 48 ore, verrà fornito un indirizzo e-mail alternativo, a.wyper@worldtravelnotebook.com.

La nota di riscatto Xrp dice alle vittime di creare un nuovo indirizzo email

Il testo completo della richiesta di riscatto Xrp recita come segue:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Il tuo ID personale:

PS
È nel tuo interesse rispondere il prima possibile per garantire il recupero dei tuoi file, perché non conserveremo le tue chiavi di decrittazione sul nostro server per molto tempo.
Controlla la cartella "Spam" quando aspetti una nostra email.
Se non rispondiamo al tuo messaggio per più di 48 ore, scrivi all'e-mail di backup: a.wyper@worldtravelnotebook.com

D: Non hai ricevuto risposta?
R: Controlla la cartella SPAM.
D: La mia cartella spam è vuota, cosa devo fare?
R: Registra la casella di posta elettronica su protonmail.com o cock.li ed esegui i passaggi precedenti.

In che modo il ransomware può infettare il tuo sistema?

Il ransomware può infettare un sistema in vari modi e gli aggressori spesso utilizzano tecniche sofisticate per sfruttare le vulnerabilità. Ecco i metodi comuni attraverso i quali il ransomware può infettare il tuo sistema:

E-mail di phishing: uno dei metodi più diffusi è tramite e-mail di phishing. Gli aggressori inviano e-mail contenenti allegati o collegamenti dannosi. Una volta che l'utente apre l'allegato o fa clic sul collegamento, il ransomware viene scaricato ed eseguito sul sistema.

Siti Web dannosi: visitare siti Web compromessi o dannosi può esporre il sistema al ransomware. Possono verificarsi download drive-by, in cui il malware viene scaricato e installato automaticamente all'insaputa o al consenso dell'utente.

Malvertising: gli aggressori utilizzano pubblicità dannose (malvertising) per distribuire ransomware. I siti Web legittimi potrebbero visualizzare inconsapevolmente annunci dannosi e fare clic su questi annunci può portare al download di ransomware.

Sfruttare le vulnerabilità del software: il ransomware può sfruttare le vulnerabilità di sistemi operativi, software o applicazioni. Se il tuo sistema non viene aggiornato regolarmente con patch di sicurezza, diventa più suscettibile a questi attacchi.

Attacchi RDP (Remote Desktop Protocol): i criminali informatici possono tentare di ottenere l'accesso non autorizzato a un sistema attraverso connessioni Remote Desktop Protocol scarsamente protette. Una volta entrati, possono distribuire ransomware.

Ingegneria sociale: gli aggressori possono utilizzare tecniche di ingegneria sociale per indurre gli utenti a eseguire script dannosi o a scaricare file infetti. Ciò può includere l'inganno degli utenti a concedere autorizzazioni non necessarie o a eseguire applicazioni apparentemente innocue.

Attacchi Watering Hole: in questo tipo di attacchi i criminali informatici compromettono i siti web più visitati dal pubblico target. Quando gli utenti visitano questi siti, scaricano inconsapevolmente malware, incluso il ransomware.

Programmi di installazione di software infetti: i programmi di installazione di software dannosi, spesso mascherati da applicazioni o aggiornamenti legittimi, possono diffondere ransomware quando vengono eseguiti.