Kmrox Ransomware er et Phobos-familiemedlem

Under undersøkelsen av nye fileksempler kom våre forskere over en annen variant av Phobos løsepengeprogram kalt Kmrox. Denne typen skadevare faller inn under kategorien løsepengevare, som er designet for å kryptere data og kreve betaling for dekryptering.

På vårt testsystem kodet Kmrox filer og endret navnene deres. De originale filnavnene ble utvidet med en unik identifikasjon knyttet til offeret, e-postadressen til nettkriminelle og en ".kmrox"-utvidelse. For eksempel, en fil som opprinnelig ble merket som "1.jpg" dukket opp som "1.jpg.id[9ECFA84E-3489].[exezez@blaze420.it].kmrox," og så videre. Etter dette ble løsepenger generert gjennom et popup-vindu ("info.hta") og en tekstfil ("info.txt").

Løsepengemeldingene fra Kmrox spesifiserer at filene er utilgjengelige på grunn av kryptering. Notatene indikerer at den eneste måten å gjenopprette filene på er å kjøpe dekrypteringsnøkkelen og programvaren fra nettkriminelle. Betalingen kreves i form av Bitcoin-kryptovaluta, selv om det nøyaktige beløpet ikke er nevnt i disse meldingene – det er bare antydet at betalingen kan påvirkes av hvor raskt kontakten etableres.

Offeret får også muligheten til en gratis dekrypteringstest (innenfor spesifikke parametere). Notatene avsluttes med advarsler mot å endre de krypterte dataene og søke hjelp fra tredjeparter.

Kmrox bruker lang løsepengenotat

Den fullstendige teksten til Kmrox løsepengenotat lyder som følger:

Alle filene dine er kryptert!

For øyeblikket er det ingen måte å dekryptere dataene på, bortsett fra å be oss om en dekryptering og en nøkkel som du vil gjenopprette alle dataene dine med.
Hvis du vil gjenopprette dem, skriv til oss på e-post: exezez@blaze420.it
Skriv denne ID-en i tittelen på meldingen -
For rask og praktisk tilbakemelding, skriv til nettoperatøren i Telegram-messengeren: @exezaz
(Vær forsiktig når du skriver inn Telegram-kontonavnet, det må være nøyaktig det samme som ovenfor, pass deg for falske kontoer.)
Fra enkelte e-posttjenester kan det hende at brevet ditt ikke når eller havner i spam, så for å øke sannsynligheten for å motta et raskt svar, dupliser også brevene dine til våre ledige e-postadresser: helze@cyberfear.com og exezaz@msgden.com
Betaling for dekryptering skjer i bitcoins. For å finne ut prisen, skriv til kontaktene ovenfor. Jo før du kontakter oss, jo lavere blir prisen. Etter betaling vil vi sende deg et verktøy som vil dekryptere alle filene dine.

Gratis dekryptering som garanti
Før du betaler kan du sende oss opptil 3 filer for gratis dekryptering. Den totale størrelsen på filene må være mindre enn 4 Mb (ikke arkivert), og filene skal ikke inneholde verdifull informasjon. (databaser, sikkerhetskopier, store excel-ark, etc.)

Hvordan få tak i Bitcoins
Du kan kjøpe Bitcoin hvor som helst som passer deg, en nybegynnerguide er her:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Merk følgende!
For å få garantert hjelp til å dekryptere filene dine, vennligst kontakt kun kontaktene som er oppført i dette notatet, for for øyeblikket er det mange svindlere som,
under påskudd av at de kan dekryptere dataene dine, be om en gratis dekryptering gjennom oss og gi det ut som en demonstrasjon av at de kan dekryptere filene dine.
Husk at nøkkelen for dekryptering av filer er individuell i hvert enkelt tilfelle, så du vil ikke kunne dekryptere filene dine selv ved hjelp av tredjepartsprogramvare, det vil bare ødelegge filene dine.
Hvis du ønsker å kommunisere gjennom en mellommann, sjekk prisen med vår operatør på forhånd, siden mellommenn ofte avvikler den reelle prisen. !!! Når du kontakter tredjeparter,
vi garanterer ikke dekryptering av filene dine!!!
For å unngå problemer med dekryptering, ikke gi nytt navn til filene dine.

Hva er Phobos Ransomware Family of Clones?

Phobos løsepengevarefamilien består av en gruppe løsepengevarevarianter som deler lignende egenskaper og operasjonsmetoder. Disse variantene blir ofte referert til som "kloner" fordi de antas å være avledet fra den samme originale kildekoden eller deler et felles rammeverk. Phobos løsepengevarefamilien er kjent for å kryptere ofrenes filer og kreve løsepenger for dekrypteringen deres.

Phobos løsepengevarevarianter viser vanligvis følgende egenskaper:

• Filkryptering: Som de fleste løsepengeprogrammer, krypterer Phobos-varianter ofrenes filer ved hjelp av sterke krypteringsalgoritmer, noe som gjør filene utilgjengelige uten en dekrypteringsnøkkel.
• Løsepengenotater: Phobos løsepengeprogramvare lager løsepenger som informerer ofrene om krypteringen og gir instruksjoner om hvordan de skal betale løsepengene for å få dekrypteringsnøkkelen.
• E-postkontakter: Løsepengene inkluderer vanligvis e-postadresser som ofre kan bruke til å kontakte angriperne for ytterligere instruksjoner om betaling og dekryptering.
• Unike utvidelser: Phobos-varianter legger ofte til unike utvidelser til krypterte filer, noe som gjør dem lett identifiserbare. Disse utvidelsene er vanligvis en kombinasjon av tilfeldige tegn eller identifikatorer.
• Bitcoin-betalinger: Løsepengekravene blir vanligvis bedt om i kryptovaluta, spesielt Bitcoin, på grunn av dens pseudonyme natur som gjør det vanskeligere å spore.
• Variasjon i løsepenger: Ulike varianter av Phobos løsepengevare kan ha varierende løsepenger, ofte avhengig av faktorer som offerets profil og hvor raskt de får kontakt med angriperne.
• Målrettet distribusjon: Phobos løsepengevare distribueres vanligvis gjennom phishing-e-poster, ondsinnede vedlegg, utnyttelsessett og andre metoder som brukes av nettkriminelle for å spre skadelig programvare.
• Lignende kodebase: Phobos-varianter deler likheter i kode og oppførsel, og antyder en felles kilde eller rammeverk som angripere har modifisert for å lage forskjellige versjoner.

Det er viktig å merke seg at selv om Phobos-varianter deler likheter, kan de også utvikle seg over tid med nye funksjoner, taktikker og teknikker. Som med enhver løsepengevare, er det beste forsvaret mot Phobos og dens varianter en kombinasjon av sterk nettsikkerhetspraksis, regelmessig sikkerhetskopiering av data, å holde programvaren oppdatert og opprettholde en forsiktig tilnærming til e-postvedlegg og lenker.