GrafGrafel Ransomware truer med dobbel utpressing

Mens vi undersøkte nye fileksempler, avdekket vårt forskningsteam det skadelige programmet GrafGrafel, som tilhører Phobos løsepengevarefamilie. Denne typen skadelig programvare krypterer data og krever løsepenger for dekryptering.

Etter å ha kjørt en prøve av GrafGrafel på testmaskinen vår, krypterte den filer og endret filnavnene deres. De originale titlene inkluderte nå en unik ID som ble tildelt offeret, cyberkriminelles e-postadresse og en ".GrafGrafel"-utvidelse. For eksempel, en fil opprinnelig kalt "1.jpg" transformert til "1.jpg.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel" etter kryptering.

Etter denne krypteringsprosessen dukket løsepenger opp i et popup-vindu ("info.hta") og tekstfiler ("info.txt"). Tekstfilene ble deponert i krypterte kataloger og på skrivebordet. Innholdet i disse notatene indikerer at GrafGrafel spesifikt retter seg mot selskaper i stedet for individuelle brukere, og bruker dobbel utpressingstaktikk.

Både popup- og tekstfilene inneholder identiske meldinger som sier at offerets filer er kryptert, og sensitive firmadata er blitt eksfiltrert. Angriperne krever løsepenger og truer med å lekke den stjålne informasjonen og holde de låste dataene utilgjengelige hvis kravene deres ikke blir oppfylt. Notatene understreker risikoen for selskapsdatalekkasjer og nevner 30 % reduksjon i løsepenger dersom offeret kontakter nettkriminelle innen 6 timer.

Før du foretar betalingen, har offeret muligheten til å teste dekryptering på noen få små filer. Meldingene advarer mot handlinger som kan resultere i permanent tap av data, som å starte eller slå av systemet på nytt, gi nytt navn/kopiere/flytte eller endre de berørte filene, bruke tredjeparts dekrypteringsverktøy og kontakte gjenopprettingsselskaper eller myndigheter.

GrafGrafel løsepengenotat spenner over flere sider med tekst

Den fullstendige teksten til GrafGrafel løsepengenotat lyder som følger:

ATTENTION

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Hva du vil møte hvis dataene dine kommer på det svarte markedet:
Personopplysningene til dine ansatte og kunder kan bli brukt til å få lån eller kjøp i nettbutikker.
Du kan bli saksøkt av kunder i selskapet ditt for å lekke informasjon som var konfidensiell.
Etter at andre hackere har innhentet personopplysninger om dine ansatte, vil sosial ingeniørkunst bli brukt på bedriften din og påfølgende angrep vil bare forsterkes.
Bankopplysninger og pass kan brukes til å opprette bankkontoer og elektroniske lommebøker hvor kriminelle penger vil bli hvitvasket.
Du vil for alltid miste ryktet.
Du vil bli utsatt for store bøter fra myndighetene.
Du kan lære mer om ansvar for tap av data her: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulationeller her hxxps://gdpr-info.eu
Domstoler, bøter og manglende evne til å bruke viktige filer vil føre til store tap. Konsekvensene av dette vil være irreversible for deg.
Å kontakte politiet vil ikke redde deg fra disse konsekvensene, og tapte data vil bare gjøre situasjonen verre.

Hvordan kontakte oss
Skriv oss til e-postene: GrafGrafel@tutanota.com
Du kan kontakte vår nettoperatør i telegram: @GROUNDINGCONDUCTOR (VÆR FORSIKTIG MED FAKE)
Last ned (Session) messenger hxxps://getsession.org i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Skriv denne ID-en i tittelen på meldingen -
HVIS DU VIL KONTAKTE OSS INNEN DE FØRSTE 6 timene, og vi avslutter avtalen om 24 timer, VIL PRISEN KUN VÆRE 30%.
(tid er penger for oss begge, hvis du vil ta vare på tiden vår, vil vi gjøre det samme, vi tar oss av prisen og dekrypteringsprosessen vil bli gjort VELDIG RASK)
ALLE NEDLASTEDE DATA VIL BLI SLETTET etter betaling.

Hva nei å gjøre og anbefaling
Du kan komme deg ut av denne situasjonen med minimale tap (Vårt rykte er våre penger!)!!! For å gjøre dette må du strengt overholde følgende regler:
IKKE endre, IKKE gi nytt navn, IKKE kopier, IKKE flytt noen filer. Slike handlinger kan SKADE dem og dekryptering vil være umulig.
IKKE bruk tredjeparts eller offentlig dekrypteringsprogramvare, det kan også SKADE filer.
IKKE slå av eller start systemet på nytt dette kan SKADE filer.
IKKE ansett noen tredjepartsforhandlere (berging/politi, etc.) Du må kontakte oss så snart som mulig og starte forhandlinger.
Du kan sende oss 1-2 små data, ikke verdifiler for test, vi vil dekryptere dem og sende dem tilbake.
Etter betaling trenger vi ikke mer enn 2 timer for å dekryptere alle dataene dine. Vi vil støtte deg inntil fullstendig dekryptering blir utført! ! ! (Vårt rykte er pengene våre!)

Instruksjoner for å kontakte teamet vårt:
Last ned (Session) messenger (hxxps://getsession.org) i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram : @GROUNDINGCONDUCTOR (VÆR FORSIKTIG MED FAKE)
MAIL:GrafGrafel@tutanota.com

Hva er Phobos Family of Ransomware Clones?

Phobos er en familie av løsepengevare som har vært kjent for å målrette mot Windows-systemer. Den er designet for å kryptere filer på det infiserte systemet, noe som gjør dem utilgjengelige for brukeren, og krever deretter løsepenger i bytte for dekrypteringsnøkkelen. Phobos løsepengevarefamilien er preget av bruken av en spesifikk filtype lagt til de krypterte filene, som ofte gjenspeiler navnet på løsepengevarevarianten.

Løsepengene levert av Phobos inneholder vanligvis instruksjoner om hvordan offeret kan betale løsepengene for å få dekrypteringsnøkkelen. Phobos er kjent for å bruke dobbel utpressingstaktikk, der den, i tillegg til å kryptere filer, kan eksfiltrere sensitive data fra det kompromitterte systemet. Trusselaktørene bak Phobos bruker deretter de stjålne dataene som innflytelse, og truer med å publisere dem med mindre løsepenger betales.

Det er viktig å merke seg at det er mange varianter og kloner innenfor Phobos løsepengevarefamilien, hver med sine egne spesifikke egenskaper og operasjonsmetoder. Disse variantene kan bli introdusert eller modifisert over tid av forskjellige nettkriminelle grupper. På grunn av den utviklende naturen til løsepengevare, jobber cybersikkerhetseksperter og antivirusselskaper kontinuerlig for å oppdage og redusere trusler knyttet til Phobos-familien og andre løsepengevarestammer. Regelmessig oppdatering av sikkerhetsprogramvare, praktisering av god cybersikkerhetshygiene og opprettholdelse av sikker sikkerhetskopiering er avgjørende for å minimere risikoen og virkningen av løsepengevareangrep.