Proton (Xorist) Ransomware užšifruos aukų sistemas

Atlikdama įprastą naujų failų pavyzdžių vertinimą, mūsų tyrimų grupė susidūrė su „Proton“ išpirkos programinės įrangos variantu. Ši kenkėjiška programinė įranga yra susijusi su Xorist ransomware šeima. Kenkėjiškos programos, priklausančios šiai kategorijai, koduoja duomenis ir prašo sumokėti už iššifravimo procesą.

Išbandžius „Proton“ (Xorist) išpirkos reikalaujančią programinę įrangą mūsų eksperimentinėje sistemoje, ji šifravo failus ir prie jų pradinių pavadinimų pridėjo „.ProToN“ plėtinį. Norėdami iliustruoti, failas pavadinimu „1.jpg“ buvo pakeistas į „1.jpg.ProTON“, o „2.png“ pakeistas į „2.png.ProTON“ ir t. t. visiems užrakintiems failams.

Vėliau programa pakeitė darbalaukio foną ir sugeneravo išpirkos užrašus kaip iššokantįjį langą, darbalaukio ekrano užsklandą ir tekstinį dokumentą, pažymėtą „KAIP IŠKIRTI FILES.txt“. Šie išpirkos rašteliai praneša aukai, kad jų failai buvo užšifruoti ir kad vienintelis būdas juos atkurti yra sumokėti užpuolikams. Išpirkos suma nurodyta kaip 0,045 BTC (Bitcoin kriptovaliuta), kuri, remiantis vyraujančiais valiutų kursais, yra maždaug lygi 1300 USD (turėkite omenyje, kad valiutų kursai nuolat svyruoja). Sumokėjus išpirką, rašteliai užtikrina auką, kad bus pateikti reikalingi iššifravimo raktai ir programinė įranga.

„Proton Ransom Note“ prašo 1300 USD Bitcoin

Visas protonų išpirkos rašto tekstas skamba taip:

Sveiki

Visi jūsų failai buvo užšifruoti
jei norite juos iššifruoti, turite man sumokėti 0,045 bitkoino.

Įsitikinkite, kad siunčiate 0,045 bitkoinus šiuo adresu:
(raidinė ir skaitmeninė eilutė)

Jei neturite bitkoino, galite lengvai jį nusipirkti šiose svetainėse:
www.coinmama.com
www.bitpanda.com
www.localbitcoins.com
www.paxful.com

Didesnį sąrašą galite rasti čia:
hxxps://bitcoin.org/en/exchanges

Išsiuntę bitkoiną susisiekite su manimi šiuo el. pašto adresu:
protonis2023@tuta.io su šia tema: -
Patvirtinus mokėjimą,
gausite iššifravimo ir iššifravimo raktus!

Taip pat gausite informaciją, kaip apsiginti nuo kitos išpirkos reikalaujančios programinės įrangos atakos
o svarbiausia yra jūsų saugumo skylė, pro kurią mes įėjome.

Dėmesio!
Nebandykite kitų pigesnių iššifravimo galimybių, nes niekas ir niekas negali
iššifruoti failus be serveriui sugeneruotų raktų,
prarasite laiką, pinigus ir failus amžinai!

Kaip „Ransomware“ kaip „Proton“ gali patekti į jūsų sistemą?

Išpirkos reikalaujančios programos, tokios kaip „Proton“, gali įsiskverbti į jūsų sistemą įvairiomis priemonėmis, dažnai išnaudodamos pažeidžiamumą arba žmonių veiksmus. Štai keletas bendrų būdų, kaip išpirkos reikalaujančios programos gali patekti į jūsų sistemą:

• Sukčiavimo el. laiškai: kibernetiniai nusikaltėliai dažnai siunčia įtikinamus el. laiškus su kenkėjiškais priedais ar nuorodomis. Spustelėjus šias nuorodas arba atidarius užkrėstus priedus, gali suaktyvėti išpirkos reikalaujančios programos diegimas.
• Kenkėjiškos nuorodos: spustelėjus užkrėstas nuorodas iš svetainių, socialinių tinklų ar momentinių pranešimų platformų, gali būti atsisiunčiama išpirkos reikalaujančių programų arba galimi išpuoliai.
• Kenkėjiška reklama: kenkėjiškos reklamos teisėtose svetainėse gali paskatinti išpirkos reikalaujančios programinės įrangos atsisiuntimą spustelėjus.
• Išnaudojimo rinkiniai: tai įrankių rinkiniai, skirti programinės įrangos, pvz., operacinės sistemos, naršyklės ar papildinių, pažeidžiamumui. Apsilankius svetainėje, kuriai buvo pakenkta, gali atsirasti išnaudojimo rinkinys, kuris pristato išpirkos reikalaujančią programinę įrangą.
• Užkrėsta programinė įranga: atsisiunčiant ir įdiegus programinę įrangą iš nepatikimų šaltinių, gali būti netyčia įdiegta išpirkos reikalaujanti programinė įranga.
• Nuotolinio darbalaukio protokolo (RDP) pažeidžiamumas: jei RDP nėra tinkamai apsaugotas, užpuolikai gali išnaudoti pažeidžiamumą, kad gautų nuotolinę prieigą prie jūsų sistemos ir įdiegtų išpirkos reikalaujančią programinę įrangą.
• Programinės įrangos pažeidžiamumas: pasenusi programinė įranga gali turėti saugos spragų, kurias užpuolikai gali išnaudoti norėdami įdiegti išpirkos reikalaujančią programinę įrangą.
• Kenkėjiškos makrokomandos: atidarius užkrėstus Microsoft Office dokumentus su įjungtomis makrokomandomis, gali būti vykdoma išpirkos reikalaujanti programa.