DoctorHelp Ransomware, pagrįsta MedusaLocker

Mūsų komanda atrado DoctorHelp – kenkėjiškos programinės įrangos, klasifikuojamos kaip išpirkos reikalaujančios programos, dalį, priklausančią MedusaLocker šeimai. Pagrindinis DoctorHelp tikslas yra užšifruoti failus.

Be to, DoctorHelp sugeneruoja išpirkos užrašą pavadinimu „How_to_back_files.html“ ir prie failų pavadinimų prideda plėtinį „.doctorhelp“. Pavyzdžiui, jis pakeičia „1.jpg“ į „1.jpg.doctorhelp“, o „2.png“ į „2.png.doctorhelp“ ir pan. Išpirkos raštelyje aiškiai nurodoma, kad pagrindiniai aukai priklausantys failai buvo užšifruoti. Kibernetiniai nusikaltėliai užtikrina auką, kad failai liko nepažeisti, tačiau buvo pakeisti naudojant RSA ir AES šifravimą. Pastaboje primygtinai rekomenduojama nebandyti atkurti failų naudojant trečiosios šalies programinę įrangą, nes teigiama, kad tokios pastangos sukeltų negrįžtamą korupciją.

Grėsmės veikėjai tvirtina, kad jie gavo labai konfidencialius ir asmeninius duomenis, šiuo metu saugomus privačiame serveryje. Tariamai, šis serveris yra nustatytas nedelsiant sunaikinti gavus apmokėjimą. Nesumokėjus raštelyje grasinama, kad užfiksuoti duomenys bus atskleisti visuomenei arba potencialiems pirkėjams, o tai kelia tiesioginį pavojų, kad jie bus atskleisti visuomenei.

Be to, užpuolikai siūlo susitarimą, pagal kurį auka galėtų nemokamai iššifruoti 2–3 neesminius failus, kad parodytų savo gebėjimą atkurti failus sumokėjus. Išpirkos rašte pateikiama kontaktinė informacija (doctorhelperss@gmail.com ir helpersdoctor@outlook.com el. pašto adresai) ir patariama aukai susikurti el. pašto paskyrą protonmail.com, kad būtų galima bendrauti.

Numatytas 72 valandų terminas, kartu su įspėjimu, kad per šį laikotarpį nepradėjus susisiekti, išpirkos reikalavimas padidės. Pranešimas baigiamas siūlymu naudoti Tor-chat nuolatiniam bendravimui, pabrėžiant nusikaltėlių įsipareigojimą palaikyti ryšį viso derybų proceso metu.

DoctorHelp Ransom Note žada iššifruoti keletą failų

Visas DoctorHelp išpirkos rašto tekstas yra toks:

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Jokia internete prieinama programinė įranga negali jums padėti. Mes vieninteliai sugebame
išspręsti savo problemą.

Mes rinkome labai konfidencialius / asmeninius duomenis. Šiuo metu šie duomenys yra saugomi
privatus serveris. Šis serveris bus nedelsiant sunaikintas po jūsų mokėjimo.
Jei nuspręsite nemokėti, mes paskelbsime jūsų duomenis viešai arba perpardavėjui.
Taigi galite tikėtis, kad artimiausiu metu jūsų duomenys bus viešai prieinami.

Mes tik siekiame pinigų ir mūsų tikslas nėra pakenkti jūsų reputacijai ar užkirsti kelią
jūsų verslas nebebus vykdomas.

Galite atsiųsti mums 2-3 nesvarbius failus ir mes juos iššifruosime nemokamai
įrodyti, kad galime grąžinti jūsų failus.

Susisiekite su mumis dėl kainos ir gaukite iššifravimo programinę įrangą.

paštas:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
Norėdami susisiekti su mumis, susikurkite naują nemokamą el. pašto paskyrą svetainėje: protonmail.com
JEI NESUSISIEKITE SU MUMIS PER 72 VALANDAS, KAINA BUS DIDESNĖ.

„Tor-chat“, kad visada palaikytumėte ryšį:

Kaip nusikaltėliai platina Ransomware internete?

Nusikaltėliai naudoja įvairius metodus platindami išpirkos reikalaujančias programas internete, pasinaudodami pažeidžiamumu ir išnaudodami žmonių elgesį. Štai keletas įprastų kibernetinių nusikaltėlių taktikos, platindamos išpirkos reikalaujančias programas:

Sukčiavimo el. laiškai:
Kibernetiniai nusikaltėliai dažnai naudoja sukčiavimo el. laiškus, kad platintų išpirkos reikalaujančias programas. Jie siunčia el. laiškus, kurie atrodo teisėti, dažnai imituojančius patikimus subjektus ar paslaugas, ir juose yra kenkėjiškų priedų ar nuorodų. Spustelėjus šiuos priedus ar nuorodas, gali būti atsisiunčiama ir vykdoma išpirkos reikalaujančios programos.

Kenkėjiškos nuorodos ir svetainės:
Nusikaltėliai kuria kenkėjiškas svetaines arba įveda kenkėjišką kodą į teisėtas svetaines. Naudotojai gali būti nukreipti į šias svetaines naudojant sukčiavimo el. laiškus, pažeistus skelbimus ar kitą apgaulingą taktiką. Lankantis tokiose svetainėse gali būti automatiškai atsisiunčiama ir įdiegiama išpirkos reikalaujanti programa.

Išnaudojimo rinkiniai:
Išnaudojimo rinkiniai yra įrankių rinkiniai, kuriuose yra iš anksto parašytas kodas, skirtas išnaudoti programinės įrangos pažeidžiamumą. Kibernetiniai nusikaltėliai naudoja šiuos rinkinius, kad nukreiptų į pasenusią programinę įrangą vartotojo sistemoje. Kai vartotojas apsilanko pažeistoje svetainėje arba spusteli kenkėjišką nuorodą, išnaudojimo rinkinys nustato ir išnaudoja pažeidžiamumą, leidžiantį pristatyti ir vykdyti išpirkos reikalaujančią programinę įrangą.

Klaidinga reklama:
Kenkėjiška reklama apima kenkėjiško kodo įdėjimą į internetinius skelbimus. Kai naudotojai spustelėja šiuos skelbimus arba apsilanko juos priglobiančiose svetainėse, kenkėjiškas kodas gali išnaudoti vartotojo naršyklės pažeidžiamumą arba papildinius, kad pristatytų išpirkos reikalaujančias programas.

Socialinė inžinerija:
Kibernetiniai nusikaltėliai naudoja socialinės inžinerijos metodus, kad manipuliuotų naudotojais, kad jie imtųsi veiksmų, galinčių sukelti išpirkos reikalaujančią programinę įrangą. Tai gali apimti naudotojų apgaudinėjimą atsisiųsti ir vykdyti kenkėjiškus failus arba spustelėti nuorodas naudojant apgaulingą taktiką, pvz., netikrus įspėjimus, įspėjimus ar viliojančius pasiūlymus.