GrafGrafel Ransomware grasina dvigubu turto prievartavimu

Nagrinėdami naujus failų pavyzdžius, mūsų tyrimų grupė aptiko GrafGrafel kenkėjišką programą, priklausančią Phobos ransomware šeimai. Šio tipo kenkėjiškos programos užšifruoja duomenis ir reikalauja išpirkos už iššifravimą.

Paleidęs GrafGrafel pavyzdį mūsų bandomajame įrenginyje, jis užšifravo failus ir pakeitė jų pavadinimus. Pradiniuose pavadinimuose dabar buvo unikalus aukai priskirtas ID, kibernetinių nusikaltėlių el. pašto adresas ir plėtinys „.GrafGrafel“. Pavyzdžiui, failas, iš pradžių pavadintas „1.jpg“, po šifravimo buvo transformuotas į „1.jpg.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel“.

Po šio šifravimo proceso išpirkos užrašai pasirodė iššokančiajame lange („info.hta“) ir tekstiniuose failuose („info.txt“). Tekstiniai failai buvo saugomi užšifruotuose kataloguose ir darbalaukyje. Šių pastabų turinys rodo, kad „GrafGrafel“ yra skirta įmonėms, o ne individualiems vartotojams, taikant dvigubą turto prievartavimo taktiką.

Tiek iššokančiuose, tiek tekstiniuose failuose yra identiškų pranešimų, kuriuose teigiama, kad aukos failai yra užšifruoti, o jautrūs įmonės duomenys buvo išfiltruoti. Užpuolikai reikalauja išpirkos, grasindami nutekinti pavogtą informaciją ir palikti užrakintus duomenis neprieinamus, jei jų reikalavimai nebus patenkinti. Pastabose pabrėžiama įmonės duomenų nutekėjimo rizika ir minima 30% sumažinta išpirka, jei auka susisiektų su kibernetiniais nusikaltėliais per 6 valandas.

Prieš atlikdamas mokėjimą, auka turi galimybę išbandyti kelių mažų failų iššifravimą. Pranešimuose įspėjama dėl veiksmų, dėl kurių gali būti prarasti visam laikui, pvz., sistemos paleidimas iš naujo arba išjungimas, paveiktų failų pervadinimas / kopijavimas / perkėlimas ar modifikavimas, trečiųjų šalių iššifravimo įrankių naudojimas ir atkūrimo įmonių arba institucijų susisiekimas.

„GrafGrafel Ransom Note“ apima kelis teksto puslapius

Visas GrafGrafel išpirkos rašto tekstas skamba taip:

ATTENTION

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Su kuo susidursite, jei jūsų duomenys pateks į juodąją rinką:
Jūsų darbuotojų ir klientų asmeninė informacija gali būti naudojama norint gauti paskolą arba pirkti internetinėse parduotuvėse.
Jūsų įmonės klientai gali pareikšti ieškinį dėl konfidencialios informacijos nutekėjimo.
Kitiems įsilaužėliams gavus asmens duomenis apie jūsų darbuotojus, jūsų įmonėje bus pritaikyta socialinė inžinerija, o vėlesnės atakos tik sustiprės.
Banko duomenys ir pasai gali būti naudojami kuriant banko sąskaitas ir internetines pinigines, per kurias bus plaunami nusikalstami pinigai.
Jūs amžinai prarasite reputaciją.
Jums bus taikomos didžiulės vyriausybės baudos.
Daugiau apie atsakomybę už duomenų praradimą galite sužinoti čia: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulation arba čia hxxps://gdpr-info.eu
Teismai, baudos ir nesugebėjimas naudotis svarbiais failais atves jus į didžiulius nuostolius. To pasekmės jums bus negrįžtamos.
Kreipimasis į policiją jūsų nuo šių pasekmių neapsaugos, o prarasti duomenys tik pablogins jūsų situaciją.

Kaip su mumis susisiekti
Rašykite mums el. paštu: GrafGrafel@tutanota.com
Galite susisiekti su mūsų internetiniu operatoriumi telegramoje: @GROUNDINGCONDUCTOR (ATSARGIAI SUKLASTOJANT)
Atsisiųskite (sesijos) „Messenger“ hxxps://getsession.org naudodami „Messenger“ :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Įrašykite šį ID savo pranešimo pavadinime -
JEI SUSISIEKITE SU MUMIS PER PIRMAS 6 valandas, o sandorį užbaigsime per 24 valandas, KAINA BUS TIK 30%.
(laikas yra pinigai mums abiem, jei rūpinsitės mūsų laiku, darysime taip pat, pasirūpinsime kaina, o iššifravimo procesas bus atliktas LABAI GREITAI)
VISI ATSISIŲSTI DUOMENYS BUS IŠTRINTI po apmokėjimo.

Ko nedaryti ir rekomendacija
Iš šios situacijos galite išeiti su minimaliais nuostoliais (Mūsų reputacija yra mūsų pinigai!) !!! Norėdami tai padaryti, turite griežtai laikytis šių taisyklių:
NEKEISIKITE, NEPERVARDYKITE, NEKOPPIJUOKITE, NEJUIKITE jokių failų. Tokie veiksmai gali joms PAŽENGTI ir iššifruoti bus neįmanoma.
NENAUDOKITE jokios trečiosios šalies ar viešosios iššifravimo programinės įrangos, ji taip pat gali PAŽEIDINTI failus.
NEGALIMA IŠJUNKITE arba perkraukite sistemos, nes tai gali PAŽEIDIMAI failams.
NESAMDYKITE jokių trečiųjų šalių derybininkų (išieškojimo/policijos ir pan.) Jums reikia kuo greičiau susisiekti su mumis ir pradėti derybas.
Galite atsiųsti mums 1-2 mažus duomenų, o ne vertės failus testavimui, mes juos iššifruosime ir atsiųsime atgal.
Po apmokėjimo mums reikia ne daugiau kaip 2 valandų, kad iššifruotume visus jūsų duomenis. Mes palaikysime jus, kol bus atliktas visiškas iššifravimas! ! ! (Mūsų reputacija yra mūsų pinigai!)

Nurodymai, kaip susisiekti su mūsų komanda:
Atsisiųskite (sesijos) „Messenger“ (hxxps://getsession.org) naudodami „Messenger“ :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram: @GROUNDINGCONDUCTOR (BŪKITE ATSARGIAI SUKLASTOJANT)
PAŠTAS: GrafGrafel@tutanota.com

Kas yra „Ransomware“ klonų „Phobos“ šeima?

„Phobos“ yra išpirkos reikalaujančių programų šeima, kuri, kaip žinoma, skirta „Windows“ sistemoms. Jis skirtas užkrėstoje sistemoje esantiems failams užšifruoti, todėl vartotojui jie tampa neprieinami, o tada reikalauja išpirkos mainais už iššifravimo raktą. „Phobos“ išpirkos programų šeimai būdingas konkretus failo plėtinys, pridedamas prie užšifruotų failų, dažnai atspindinčių išpirkos reikalaujančios programos varianto pavadinimą.

„Phobos“ pateiktuose išpirkos raštuose paprastai yra nurodymų, kaip auka gali sumokėti išpirką, kad gautų iššifravimo raktą. „Phobos“ yra žinomas dėl dvigubo turto prievartavimo taktikos, kai, be failų šifravimo, gali išfiltruoti slaptus duomenis iš pažeistos sistemos. Grėsmės veikėjai už Phobos panaudoja pavogtus duomenis kaip svertą ir grasina juos paskelbti, nebent bus sumokėta išpirka.

Svarbu pažymėti, kad Phobos ransomware šeimoje yra daug variantų ir klonų, kurių kiekvienas turi savo specifines savybes ir veikimo metodus. Šiuos variantus laikui bėgant gali pristatyti arba modifikuoti įvairios kibernetinės nusikaltėlių grupės. Dėl besivystančios išpirkos reikalaujančios programinės įrangos pobūdžio kibernetinio saugumo ekspertai ir antivirusinės įmonės nuolat stengiasi aptikti ir sušvelninti grėsmes, susijusias su Phobos šeima ir kitomis išpirkos reikalaujančiomis programomis. Reguliarus saugos programinės įrangos atnaujinimas, geros kibernetinio saugumo higienos laikymasis ir saugios atsarginės kopijos laikymasis yra labai svarbūs norint sumažinti išpirkos reikalaujančių programų atakų riziką ir poveikį.