DoctorHelp Ransomware Basert på MedusaLocker

Teamet vårt oppdaget DoctorHelp - et stykke skadelig programvare klassifisert som løsepengevare, som tilhører MedusaLocker-familien. Hovedmålet med DoctorHelp er å kryptere filer.

Videre genererer DoctorHelp en løsepengenotat med tittelen "How_to_back_files.html" og legger til ".doctorhelp"-utvidelsen til filnavn. For eksempel endrer den "1.jpg" til "1.jpg.doctorhelp" og "2.png" til "2.png.doctorhelp," og så videre. Løseseddelen formidler eksplisitt at viktige filer eid av offeret har gjennomgått kryptering. Nettkriminelle forsikrer offeret om at filene forblir intakte, men at de har gjennomgått endringer ved hjelp av RSA- og AES-kryptering. Merknaden fraråder på det sterkeste å forsøke filgjenoppretting med tredjepartsprogramvare, og hevder at slik innsats vil resultere i irreversibel korrupsjon.

Trusselaktørene hevder at de har innhentet svært konfidensielle og personlige data som for øyeblikket er lagret på en privat server. Angivelig er denne serveren satt til umiddelbar ødeleggelse ved mottak av betaling. I mangel av betaling truer notatet med å avsløre de innhentede dataene til publikum eller potensielle kjøpere, noe som utgjør en overhengende risiko for offentlig eksponering.

I tillegg foreslår angriperne en ordning der offeret kan sende 2-3 ikke-essensielle filer for gratis dekryptering som en demonstrasjon av deres evne til å gjenopprette filer ved betaling. Løsepengene gir kontaktdetaljer (doctorhelperss@gmail.com og helpersdoctor@outlook.com e-postadresser) og råder offeret til å opprette en e-postkonto på protonmail.com for kommunikasjon.

Det er fastsatt en frist på 72 timer, ledsaget av en advarsel om at det å unnlate å ta kontakt innen denne tidsrammen vil resultere i en økning i løsepengekravet. Meldingen avsluttes med et forslag om å bruke Tor-chat for løpende kommunikasjon, som understreker de kriminelles forpliktelse til å opprettholde kontakten gjennom hele forhandlingsprosessen.

Legehjelp løsepengenotat lover dekryptering av noen få filer

Den fullstendige teksten til DoctorHelp løsepengenotatet er som følger:

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Ingen programvare tilgjengelig på internett kan hjelpe deg. Vi er de eneste som kan
løse problemet ditt.

Vi samlet inn svært konfidensielle/personlige data. Disse dataene er for øyeblikket lagret på
en privat server. Denne serveren vil umiddelbart bli ødelagt etter betalingen din.
Hvis du bestemmer deg for å ikke betale, vil vi frigi dataene dine til offentlig eller videreselger.
Så du kan forvente at dataene dine blir offentlig tilgjengelig i nær fremtid.

Vi søker kun penger og målet vårt er ikke å skade omdømmet ditt eller forhindre
virksomheten din fra å kjøre.

Du kan sende oss 2-3 ikke-viktige filer, og vi vil dekryptere dem gratis
for å bevise at vi er i stand til å gi tilbake filene dine.

Kontakt oss for pris og få dekrypteringsprogramvare.

e-post:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
For å kontakte oss, opprett en ny gratis e-postkonto på nettstedet: protonmail.com
HVIS DU IKKE KONTAKTER OSS INNEN 72 TIMER, VIL PRISEN VÆRE HØYERE.

Tor-chat for alltid å være i kontakt:

Hvordan distribuerer kriminelle løsepengevare på nettet?

Kriminelle bruker ulike metoder for å distribuere løsepengevare på nettet, utnytter sårbarheter og utnytter menneskelig atferd. Her er noen vanlige taktikker brukt av nettkriminelle for å distribuere løsepengevare:

Phishing-e-poster:
Nettkriminelle bruker ofte phishing-e-post for å distribuere løsepengeprogramvare. De sender e-poster som virker legitime, ofte etterligner pålitelige enheter eller tjenester, og inkluderer ondsinnede vedlegg eller lenker. Å klikke på disse vedleggene eller koblingene kan utløse nedlasting og kjøring av løsepengeprogramvare.

Ondsinnede lenker og nettsteder:
Kriminelle lager ondsinnede nettsteder eller injiserer ondsinnet kode på legitime nettsteder. Brukere kan bli henvist til disse nettstedene gjennom phishing-e-poster, kompromitterte annonser eller andre villedende taktikker. Å besøke slike nettsteder kan føre til automatisk nedlasting og installasjon av løsepengeprogramvare.

Utnyttelsessett:
Utnyttelsessett er verktøysett som inneholder forhåndsskrevet kode for å utnytte sårbarheter i programvare. Nettkriminelle bruker disse settene for å målrette utdatert programvare på en brukers system. Når en bruker besøker et kompromittert nettsted eller klikker på en ondsinnet lenke, identifiserer og utnytter utnyttelsessettet sårbarheter, slik at løsepengevaren kan leveres og kjøres.

Malvertising:
Malvertising innebærer å plassere ondsinnet kode i nettannonser. Når brukere klikker på disse annonsene eller besøker nettsteder som er vert for dem, kan den skadelige koden utnytte sårbarheter i brukerens nettleser eller plugins for å levere løsepengeprogramvare.

Sosialteknikk:
Nettkriminelle bruker sosiale ingeniørteknikker for å manipulere brukere til å utføre handlinger som fører til ransomware-infeksjon. Dette kan innebære å lure brukere til å laste ned og kjøre skadelige filer eller klikke på lenker gjennom villedende taktikker, som falske varsler, advarsler eller lokkende tilbud.