Ebaka Ransomware yra pagrįsta Phobos kodu

Nagrinėjant naujausius kenkėjiškų programų pavyzdžius, mūsų tyrimų komanda aptiko „Ebaka“ išpirkos reikalaujančią programinę įrangą, kuri priklauso „Phobos“ išpirkos reikalaujančių programų šeimai. „Ebaka“ buvo sukurta šifruoti failus ir reikalauja sumokėti už jų iššifravimą.

Mūsų bandomojoje sistemoje ši kenkėjiška programinė įranga pakeitė failus šifruodama, pakeisdama jų pavadinimus. Pradiniai pavadinimai buvo papildyti skiriamuoju aukai priskirtu ID, kibernetinių nusikaltėlių el. pašto adresu ir plėtiniu „.ebaka“. Pavyzdžiui, failas, iš pradžių pavadintas „1.jpg“, buvo pakeistas į „1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka“.

Baigusi šį procesą, Ebaka sugeneravo išpirkos raštelius ir įdėjo juos į darbalaukį ir visuose užšifruotuose kataloguose. Vienas užrašas buvo rodomas kaip iššokantis langas ("info.hta"), o kitas buvo tekstinis failas ("info.txt"). Tekstiniame faile perduodamas pranešimas, kad aukos failai buvo užšifruoti, ir raginama susisiekti su užpuolikais dėl iššifravimo.

Iššokančiame lange rodomo išpirkos lakšto turinys suteikia papildomos informacijos apie infekciją, nurodant, kad norint iššifruoti reikia sumokėti išpirką Bitcoin kriptovaliuta. Esą mokėjimo suma priklauso nuo to, kaip greitai auka užmezga ryšį su kibernetiniais nusikaltėliais.

Prieš vykdydama išpirkos reikalavimus, auka turi galimybę išbandyti iššifravimą, nusiųsdama užpuolikams iki penkių užšifruotų failų, atsižvelgiant į tam tikrus apribojimus. Pranešime taip pat įspėjama nekeisti užrakintų failų arba naudoti trečiųjų šalių iššifravimo įrankius, nes tokie veiksmai gali sukelti nuolatinį duomenų praradimą. Be to, nukentėjusysis įspėjamas, kad pagalbos kreipimasis į trečiąsias šalis gali padidinti finansinius nuostolius.

Visas Ebaka Ransom Note

Visas Ebakos išpirkos rašto tekstas skamba taip:

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Nemokamas iššifravimas kaip garantija
Prieš mokėdami, galite atsiųsti mums iki 5 failų nemokamai iššifruoti. Bendras failų dydis turi būti mažesnis nei 4 Mb (nearchyvuoti), o failuose neturi būti vertingos informacijos. (duomenų bazės, atsarginės kopijos, dideli „Excel“ lapai ir kt.)

Kaip gauti Bitcoins
Lengviausias būdas nusipirkti bitkoinų yra „LocalBitcoins“ svetainė. Turite užsiregistruoti, paspausti „Pirkti bitkoinus“ ir pasirinkti pardavėją pagal mokėjimo būdą ir kainą.
hxxps://localbitcoins.com/buy_bitcoins
Čia taip pat galite rasti kitų vietų, kur galite nusipirkti Bitcoins, ir pradedančiųjų vadovą:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Dėmesio!
Nepervardykite užšifruotų failų.
Nebandykite iššifruoti savo duomenų naudodami trečiosios šalies programinę įrangą, nes tai gali sukelti nuolatinį duomenų praradimą.
Jūsų failų iššifravimas su trečiųjų šalių pagalba gali padidinti kainą (jie prideda savo mokestį prie mūsų) arba galite tapti sukčiavimo auka.

Kaip Ransomware gali užkrėsti jūsų kompiuterį?

Išpirkos reikalaujančios programos gali užkrėsti jūsų kompiuterį įvairiomis priemonėmis, o užpuolikai dažnai naudoja socialinės inžinerijos taktiką, norėdami apgauti vartotojus atsisiųsti arba paleisti kenkėjišką kodą. Štai keletas bendrų būdų, kuriais išpirkos reikalaujančios programos gali užkrėsti kompiuterį:

Sukčiavimo el. laiškai:
El. pašto priedai: kibernetiniai nusikaltėliai dažnai siunčia sukčiavimo el. laiškus su kenkėjiškais priedais, pvz., užkrėstais Word dokumentais ar PDF failais. Kai vartotojas atidaro priedą, įvykdoma išpirkos reikalaujanti programa.
Kenkėjiškos nuorodos: sukčiavimo el. laiškuose gali būti nuorodų į netikras svetaines, kuriose yra išpirkos reikalaujančios programos. Spustelėjus šias nuorodas, jūsų kompiuteryje gali būti atsisiunčiama ir įdiegiama išpirkos reikalaujanti programa.

Kenkėjiškos svetainės:
Apsilankę pažeistose ar kenkėjiškose svetainėse, jūsų kompiuteryje gali būti atsisiunčiami automatiškai, kai kenkėjiškos programos, įskaitant išpirkos reikalaujančias programas, automatiškai atsisiunčiamos ir vykdomos be jūsų žinios.

Klaidinga reklama:
Kibernetiniai nusikaltėliai gali pažeisti teisėtus internetinės reklamos tinklus ir svetainėse talpinti kenkėjišką reklamą (netinkamą reklamą). Spustelėjus šiuos skelbimus gali būti atsiųsta išpirkos reikalaujančių programų.

Išnaudojimo rinkiniai:
Išnaudojimo rinkiniai yra kenkėjiški įrankių rinkiniai, kurie naudojasi programinės įrangos ar naršyklių pažeidžiamumu. Jei jūsų sistemoje nėra naujausių saugos pataisų, išnaudojimo rinkinys gali išnaudoti šias spragas ir pristatyti išpirkos reikalaujančias programas.

Nuotolinio darbalaukio protokolo (RDP) atakos:
Užpuolikai gali bandyti gauti neteisėtą prieigą prie jūsų kompiuterio naudodami silpnus arba numatytuosius nuotolinio darbalaukio protokolo slaptažodžius. Patekę į vidų, jie gali įdiegti išpirkos reikalaujančią programinę įrangą.