DoNex ランサムウェアが被害者のドライブを暗号化

新しいファイル サンプルを調査しているときに、DoNex として知られるランサムウェアの亜種を特定しました。このランサムウェアはデータを暗号化するように設計されており、「Readme.[victim's_ID].txt」というタイトルの身代金メモとその拡張子 (被害者の ID) をすべての暗号化ファイルのファイル名に追加します。

たとえば、DoNex は、「1.jpg」を「1.jpg.f58A66B51」に、「2.png」を「2.png.f58A66B51」などに変換することでファイル名を変更します。身代金メモは、DoNex ランサムウェアの存在に関する大胆な警告で始まり、被害者にデータが暗号化されており、身代金が支払われない限り TOR Web サイトに公開されることを通知します。このメモには、指定された Web サイトにアクセスするための Tor ブラウザをダウンロードするためのリンクが含まれています。

被害者を安心させる試みとして、このメモは、DoNex の背後にあるグループが政治的動機ではなく経済的動機によって動かされていると強調している。彼らは、復号化ツールを提供し、支払いがあれば被害者のデータを消去することを約束しており、その評判の重要性を強調しています。

さらに、このメモでは、復号化プロセスを検証するために 1 つのファイルを無料で復号化するオプションを提供しています。 Tox ID、電子メール アドレス (donexsupport@onionmail.org)、回復時の複雑さを避けるためのファイルの削除や変更に対する注意事項など、連絡先の詳細が記載されています。このメモは、身代金が支払われない場合、被害者の会社をさらに攻撃するという脅しで締めくくられている。

DoNex 身代金メモ

DoNex 身代金メモの全文は次のとおりです。

DoNex ransomware warning
Your data are stolen and encrypted

The data will be published on TOR website if you do not pay the ransom

Links for Tor Browser:

What guarantees that we will not deceive you?

We are not a politically motivated group and we do not need anything other than your money.

If you pay, we will provide you the programs for decryption and we will delete your data.

If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future.

Therefore to us our reputation is very important. We attack the companies worldwide and there is no dissatisfied victim after payment.

You need contact us and decrypt one file for free on these TOR sites with your personal DECRYPTION ID

Download and install TOR Browser hxxps://www.torproject.org/
Write to a chat and wait for the answer, we will always answer you.

You can install qtox to contanct us online hxxps://tox.chat/download.html
Tox ID Contact: 2793D009872AF80ED9B1A461F7B9BD6209 744047DC1707A42CB622053716AD4BA624193606C9

Mail (OnionMail) Support: donexsupport@onionmail.org

Warning! Do not DELETE or MODIFY any files, it can lead to recovery problems!

Warning! If you do not pay the ransom we will attack your company repeatedly again!

ランサムウェアはどのようにしてオンラインで一般的に配布されるのでしょうか?

ランサムウェアは、脆弱性や人間の行動を利用して、さまざまな方法でオンラインで配布されるのが一般的です。ランサムウェアが拡散する一般的な方法は次のとおりです。

フィッシングメール:
電子メールの添付ファイル: サイバー犯罪者は、感染したドキュメントや実行可能ファイルなどの悪意のある添付ファイルを含むフィッシングメールを送信することがよくあります。添付ファイルが開かれると、ランサムウェアが被害者のシステムに展開されます。
悪意のあるリンク: フィッシングメールには、悪意のある Web サイトへのリンクが含まれている場合もあります。これらのリンクをクリックすると、ランサムウェアがダウンロードされて実行される可能性があります。

マルバタイジング:
悪意のある広告、つまりマルバタイジングが正規の Web サイトで見つかることがあります。これらの広告をクリックすると、ランサムウェアをホストするサイトにユーザーがリダイレクトされ、意図しないダウンロードや感染につながる可能性があります。

ドライブバイダウンロード:
ランサムウェアは、侵害された Web サイトまたは悪意のある Web サイトにアクセスしたときに、ユーザーの知らないうちにユーザーのシステムにサイレントにダウンロードされる可能性があります。ブラウザやプラグインの脆弱性を悪用するのが一般的な方法です。

エクスプロイト キット:
エクスプロイト キットは、ソフトウェアの既知の脆弱性をターゲットとするツールキットです。ユーザーのシステムにパッチが適用されていない脆弱性のある古いソフトウェアがある場合、エクスプロイト キットがランサムウェアを配布して実行する可能性があります。

水飲み場攻撃:
サイバー犯罪者は、特定のターゲット グループが頻繁にアクセスする Web サイトを侵害し、それらのサイトに対するユーザーの信頼を悪用してランサムウェアを配布する可能性があります。これは水飲み場攻撃として知られています。

リモート デスクトップ プロトコル (RDP) 攻撃:
攻撃者は、リモート デスクトップ プロトコル (RDP) サービスで脆弱なパスワードやデフォルトのパスワードを悪用する可能性があります。アクセスを取得すると、被害者のネットワークにランサムウェアを手動で展開することができます。

ソフトウェアの脆弱性を悪用するのは一般的な方法です。これには、オペレーティング システム、アプリケーション、またはサービスの脆弱性が含まれており、パッチを適用しないままにしておくと、ランサムウェアの侵入ポイントとなります。