„xCor Ransomware“ užrakina aukų sistemas

xCor yra išpirkos reikalaujančios programinės įrangos forma, sukurta siekiant užšifruoti failus, pakeisti jų pavadinimus pridedant aukos ID, xcorp@decoymail.mx el. pašto adresą ir pridedant plėtinį ".xCor". Šioje kenkėjiškoje programinėje įrangoje pateikiami du išpirkos užrašai: vienas iškylančiojo lango, o kitas – „info.txt“ failo pavidalu. Mūsų komanda susidūrė su xCor tirdama kenkėjiškų programų pavyzdžius.

Be to, mūsų išvados atskleidė, kad xCor yra susijęs su Dharma ransomware šeima. Norėdami parodyti, kaip ši išpirkos reikalaujanti programa manipuliuoja failų pavadinimais, ji paima tokį failą kaip "1.jpg" ir paverčia jį į "1.jpg.id-1E857D00.[xcorp@decoymail.mx].xCor", panašiai pakeisdama kitus failus, pvz., "2". .png“ į „2.png.id-1E857D00.[xcorp@decoymail.mx].xCor“ ir pan.

Išpirkos raštelyje aukoms pranešama, kad visi jų failai buvo užšifruoti. Tačiau tai taip pat užtikrina, kad failus galima atkurti. Aukoms duodami nurodymai susisiekti su užpuolikais el. paštu, adresu xcorp@decoymail.mx arba whisper@mailfence.com.

Be to, pastaboje teigiama, kad užpuolikai suteikia nemokamą iki trijų failų iššifravimo garantiją, taip pademonstruodami savo sugebėjimus. Failams, kuriuos galima iššifruoti, taikomi tam tikri apribojimai, įskaitant dydžio apribojimus (mažiau nei 3 Mb) ir turinio apribojimus (pvz., neįtraukiant vertingos informacijos, pvz., duomenų bazių ar atsarginių kopijų).

Galiausiai aukoms paskelbti du įspėjimai. Pirma, jiems primygtinai nerekomenduojama pervardyti šifruotų failų. Antra, jie nerekomenduojami bandyti iššifruoti duomenis naudojant trečiosios šalies programinę įrangą, nes tai gali sukelti nuolatinį duomenų praradimą.

„xCor Ransom Note“ pateikta dviem formatais

Ilgesnė xCor išpirkos raštelio versija skamba taip:

Visi jūsų failai buvo užšifruoti!
Nesijaudinkite, galite grąžinti visus failus!
Jei norite juos atkurti, rašykite į paštą: xcorp@decoymail.mx JŪSŲ ID 1E857D00
Jei per 12 valandų neatsakėte paštu, parašykite mums kitu paštu: whisper@mailfence.com
Nemokamas iššifravimas kaip garantija
Prieš mokėdami galite atsiųsti mums iki 3 failų nemokamai iššifruoti. Bendras failų dydis turi būti mažesnis nei 3 Mb (nearchyvuoti), o failuose neturi būti vertingos informacijos. (duomenų bazės, atsarginės kopijos, dideli „Excel“ lapai ir kt.)
Kaip gauti Bitcoins
Lengviausias būdas nusipirkti bitkoinų yra „LocalBitcoins“ svetainė. Turite užsiregistruoti, paspausti „Pirkti bitkoinus“ ir pasirinkti pardavėją pagal mokėjimo būdą ir kainą.
hxxps://localbitcoins.com/buy_bitcoins
Čia taip pat galite rasti kitų vietų, kur galite nusipirkti Bitcoins, ir pradedančiųjų vadovą:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Dėmesio!
Nepervardykite užšifruotų failų.
Nebandykite iššifruoti savo duomenų naudodami trečiosios šalies programinę įrangą, nes tai gali sukelti nuolatinį duomenų praradimą.
Jūsų failų iššifravimas su trečiųjų šalių pagalba gali padidinti kainą (jie prideda savo mokestį prie mūsų) arba galite tapti sukčiavimo auka.

Kaip „Ransomware“, kaip „xCor“, gali užkrėsti jūsų kompiuterį?

xCor ir panašios išpirkos reikalaujančios programos gali užkrėsti jūsų kompiuterį įvairiomis priemonėmis. Štai keletas bendrų metodų, kuriuos naudoja išpirkos reikalaujančios programos, kad įsiskverbtų į sistemas:

• El. pašto priedai: vienas iš dažniausių išpirkos reikalaujančių programų plitimo būdų yra kenkėjiški el. pašto priedai. Kibernetiniai nusikaltėliai dažnai siunčia el. laiškus, kurie atrodo teisėti ir įtikinami, su užkrėstais priedais, pvz., PDF, Word dokumentais ar vykdomaisiais failais. Jei nesąmoningai atsisiunčiate ir atidarote tokius priedus, išpirkos reikalaujanti programa gali būti suaktyvinta ir pradėti šifruoti jūsų failus.
• Sukčiavimo el. laiškai ir svetainės: Ransomware taip pat gali būti platinama per sukčiavimo el. laiškus arba netikras svetaines. Sukčiavimo el. laiškai skirti apgauti gavėjus spustelėti kenkėjiškas nuorodas arba atsisiųsti užkrėstus failus. Panašiai netikros svetainės gali paraginti atsisiųsti programinės įrangos naujinimus arba įvesti asmeninę informaciją, tačiau vietoj to jos pristato išpirkos reikalaujančias programas į jūsų sistemą.
• Išnaudojimo rinkiniai: Ransomware gali išnaudoti pasenusios programinės įrangos, operacinių sistemų ar interneto naršyklių spragas. Išnaudojimo rinkiniai yra kenkėjiški įrankiai, kurie nuskaito kompiuterius, ar nėra saugos trūkumų, ir pateikia išpirkos reikalaujančių programų naudingąsias apkrovas, kad išnaudotų šias spragas. Labai svarbu reguliariai atnaujinti programinę įrangą ir naudoti patikimas saugos pataisas, kad būtų sumažinta išnaudojimo rizika.
• Kenkėjiška reklama: kenkėjiška reklama apima kenkėjiško kodo įvedimą į teisėtus internetinius skelbimus ar svetaines. Tiesiog apsilankius pažeistoje svetainėje arba spustelėjus užkrėstą reklamą, išpirkos reikalaujančios programos gali būti netyčia atsisiunčiamos į jūsų kompiuterį be jūsų žinios.
• Nuotolinio darbalaukio protokolo (RDP) atakos: Ransomware užpuolikai kartais taikosi į kompiuterius su atviru nuotolinio darbalaukio protokolu. Jei jie sėkmingai išnaudoja silpnus arba lengvai atspėjamus prisijungimo duomenis, jie gauna neteisėtą prieigą prie sistemos ir įdiegia išpirkos reikalaujančią programinę įrangą.
• „Drive-by“ atsisiuntimai: „Drive-by“ atsisiuntimai atsiranda, kai lankotės pažeistose svetainėse, kuriose yra paslėptas kenkėjiškas kodas. Paprasčiausiai apsilankius šiose svetainėse, jūsų kompiuteryje gali būti automatiškai atsisiunčiama ir įdiegiama išpirkos reikalaujanti programinė įranga.