Ebaka ランサムウェアは Phobos コードに基づいています
最近のマルウェア サンプルの調査中に、私たちの研究チームは Phobos ランサムウェア ファミリのメンバーである Ebaka ランサムウェアを発見しました。 Ebaka はファイルを暗号化するように設計されており、復号化と引き換えに支払いを要求します。
私たちのテスト システムでは、この悪意のあるソフトウェアが暗号化を通じてファイルを改ざんし、ファイル名を変更しました。元のタイトルは、被害者に割り当てられた固有の ID、サイバー犯罪者の電子メール アドレス、および「.ebaka」拡張子で拡張されました。たとえば、もともと「1.jpg」という名前のファイルは、「1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka」に変換されました。
このプロセスが完了すると、Ebaka は身代金メモを生成し、デスクトップとすべての暗号化されたディレクトリ内に配置しました。 1 つのメモはポップアップ ウィンドウ (「info.hta」) として表示され、もう 1 つはテキスト ファイル (「info.txt」) として表示されました。このテキスト ファイルは、被害者のファイルが暗号化されているというメッセージを伝え、復号化のために攻撃者に連絡するよう促します。
ポップアップ ウィンドウに表示される身代金メモの内容には、感染に関する追加の詳細が表示され、復号化にはビットコイン暗号通貨での身代金の支払いが必要であることが示されています。伝えられるところによると、支払い額は被害者がどれだけ早くサイバー犯罪者との接触を確立するかによって決まります。
身代金の要求に応じる前に、被害者は、特定の制限に従って最大 5 つの暗号化されたファイルを攻撃者に送信して復号化をテストするオプションを持ちます。このメッセージは、ロックされたファイルを変更したり、サードパーティの復号化ツールを使用したりすることは、データが永久に失われる可能性があるため、行わないよう警告しています。さらに、被害者には、第三者に援助を求めると経済的損失が拡大する可能性があると警告されます。
エバカ身代金メモ全文
Ebaka の身代金メモの全文は次のとおりです。
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.無料の復号化を保証
支払い前に最大 5 つのファイルを送信して無料で復号化することができます。ファイルの合計サイズは 4Mb 未満 (非アーカイブ) である必要があり、ファイルには貴重な情報が含まれていてはなりません。 (データベース、バックアップ、大きな Excel シートなど)ビットコインの入手方法
ビットコインを購入する最も簡単な方法は、LocalBitcoins サイトです。登録して「ビットコインを購入」をクリックし、支払い方法と価格で販売者を選択する必要があります。
hxxps://localbitcoins.com/buy_bitcoins
また、ビットコインを購入できる他の場所や初心者ガイドもここで見つけることができます。
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/注意！
暗号化されたファイルの名前を変更しないでください。
サードパーティのソフトウェアを使用してデータを復号化しようとしないでください。データが永久に失われる可能性があります。
サードパーティの助けを借りてファイルを復号化すると、料金が上昇したり（サードパーティの料金が当社の料金に追加されたり）、詐欺の被害者になる可能性があります。
ランサムウェアはどのようにしてコンピュータに感染するのでしょうか?
ランサムウェアはさまざまな方法でコンピュータに感染する可能性があり、攻撃者はソーシャル エンジニアリング戦術を使用してユーザーをだまして悪意のあるコードをダウンロードまたは実行させることがよくあります。ランサムウェアがコンピュータに感染する一般的な方法をいくつか示します。
フィッシングメール:
電子メールの添付ファイル: サイバー犯罪者は、感染した Word 文書や PDF ファイルなどの悪意のある添付ファイルを含むフィッシングメールを送信することがよくあります。ユーザーが添付ファイルを開くと、ランサムウェアが実行されます。
悪意のあるリンク: フィッシングメールには、ランサムウェアをホストする偽の Web サイトへのリンクが含まれている場合があります。これらのリンクをクリックすると、コンピュータへのランサムウェアのダウンロードとインストールが開始される可能性があります。
悪意のある Web サイト:
侵害された Web サイトまたは悪意のある Web サイトにアクセスすると、コンピュータがドライブバイ ダウンロードにさらされる可能性があります。ドライブバイ ダウンロードでは、ランサムウェアを含むマルウェアが自動的にダウンロードされ、知らないうちに実行されます。
マルバタイジング:
サイバー犯罪者は、正規のオンライン広告ネットワークを侵害し、Web サイトに悪意のある広告 (マルバタイズメント) を配置する可能性があります。これらの広告をクリックすると、ランサムウェアがダウンロードされる可能性があります。
エクスプロイト キット:
エクスプロイト キットは、ソフトウェアまたはブラウザの脆弱性を利用する悪意のあるツールキットです。システムが最新のセキュリティ パッチで最新でない場合、エクスプロイト キットがこれらの脆弱性を悪用してランサムウェアを配布する可能性があります。
リモート デスクトップ プロトコル (RDP) 攻撃:
攻撃者は、リモート デスクトップ プロトコルの脆弱なパスワードまたはデフォルトのパスワードを悪用して、コンピュータへの不正アクセスを試みる可能性があります。侵入すると、ランサムウェアが展開される可能性があります。
