TXTME Ransomware: En digital kidnapper som gjemmer seg i åpent syn

Hva er TXTME-ransomware?

Enda et tilskudd til den beryktede Dharma-ransomware-familien har dukket opp, kalt TXTME . TXTME følger et nå kjent, men fortsatt farlig operasjonsmønster: det krypterer filer på et offers system og krever betaling i bytte for tilgang. Når det infiserer en enhet, endrer ransomware-viruset alle berørte filnavn ved å legge til en unik offer-ID, en av to kontakt-e-postadresser og filtypen ".TXTME". For eksempel blir "photo.jpg" noe sånt som "photo.jpg.id-9ECFA84E.[ownercall@tuta.io].TXTME."

Ved kryptering etterlater løsepengeviruset seg to typer løsepengemeldinger: et popup-varsel og en tekstfil med tittelen TXTME.txt . Begge meldingene informerer offeret om at dataene deres nå er utilgjengelige, og tilbyr en «løsning» – send en e-post til angriperen og forbered deg på å betale løsepenger i Bitcoin . Meldingene advarer også mot å tukle med de krypterte filene eller bruke eksterne gjenopprettingsverktøy, noe som truer med permanent datatap hvis offeret prøver å ta saken i egne hender.

Her er hva løsepengebrevet sier:

All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: ownercall@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:ownercall@mailum.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Forstå løsepengevirusangrep

Løsepengevirus som TXTME er en type skadelig programvare som er spesielt utviklet for å holde data som gisler. Etter å ha fått tilgang til et system, krypterer det filer, og låser brukere ute fra informasjonen sin. Ofrene får deretter instruksjoner om å betale løsepenger, vanligvis i kryptovaluta, for å motta en dekrypteringsnøkkel. Imidlertid advarer nettsikkerhetseksperter konsekvent mot å betale. Det er ingen garanti for at kriminelle vil tilby dekrypteringsverktøyet, og betaling forsterker bare syklusen med fremtidige angrep.

Disse angrepene kan ha alvorlige konsekvenser, spesielt for bedrifter eller institusjoner med sensitive eller uerstattelige data. Risikoen for datatap, tjenesteavbrudd og økonomisk skade er høy. Heldigvis er det beste forsvaret forberedelse: regelmessig sikkerhetskopiering av data til offline eller eksterne steder reduserer virkningen av et ransomware-angrep betydelig.

Hva gjør TXTME annerledes?

TXTME er ikke bare et enkelt fillås. Det er utviklet for dypere forstyrrelser og vedvarende funksjonalitet. Når det er aktivt, deaktiverer det systembrannmuren og sletter Volume Shadow Copies, som Windows vanligvis bruker til systemgjenoppretting og filgjenoppretting. Dette gjør det mye vanskeligere for brukere å gjenopprette filer uten å betale løsepenger.

Skadevaren sørger også for at den forblir på den infiserte maskinen ved å kopiere seg selv til %LOCALAPPDATA% -katalogen og redigere Windows-registernøkler slik at de starter hver gang systemet starter opp. Den samler til og med inn posisjonsdata for å unngå å infisere systemer i visse regioner, noe som tyder på at operatørene ønsker å holde seg unna bestemte land – muligens for å unngå juridiske konsekvenser eller unngå gransking fra myndighetene i deres jurisdiksjoner.

Hvordan TXTME sprer seg

De nøyaktige metodene for distribusjon av TXTME er fortsatt under etterforskning, men det sprer seg sannsynligvis gjennom eksponerte RDP-tjenester (Remote Desktop Protocol). Angripere bruker ofte brute-force-teknikker for å gjette svake eller vanlige passord på systemer med RDP aktivert. Når de er inne, distribuerer de ransomware manuelt.

Mer generelt spres ransomware ofte via phishing-e-poster, ondsinnede vedlegg, falske programvareoppdateringer, kompromitterte nettsteder eller sammen med piratkopiert programvare. Det kan også spres via USB-stasjoner, infiserte installasjonsprogrammer eller sårbarheter i utdatert programvare. Trussellandskapet er i stadig utvikling, noe som gjør årvåkenhet viktig.

Forebygging og beste praksis

Den beste måten å beskytte mot ransomware som TXTME på er gjennom en blanding av proaktive sikkerhetstiltak og bevisstgjøring. Start med å deaktivere RDP hvis det ikke er nødvendig. For systemer der RDP er viktig, bruk sterke, komplekse passord og aktiver flerfaktorautentisering. Hold all programvare, operativsystemer og sikkerhetsverktøy oppdatert med de nyeste oppdateringene.

Vær forsiktig når du håndterer e-postvedlegg eller klikker på lenker, spesielt når de kommer fra ukjente kilder. Unngå å laste ned programvare fra upålitelige nettsteder eller bruke sprukne versjoner av legitime programmer. Disse vanlige vektorene er hvordan ransomware ofte slipper forbi forsvar.

Viktigheten av sikkerhetskopier

Sikkerhetskopier er fortsatt et av de sterkeste mottiltakene mot ransomware. Å oppbevare kopier av viktige filer på en separat enhet eller en sikker skytjeneste kan redusere skaden drastisk. I tilfelle et angrep kan systemer slettes og gjenopprettes uten at man trenger å engasjere seg med angriperen.

Sikkerhetskopier bør imidlertid kobles fra hovedsystemet når de ikke er i bruk, ettersom mange ransomware-stammer prøver å finne og kryptere tilknyttede sikkerhetskopieringsstasjoner også. Planlagte, automatiske sikkerhetskopier med riktig versjonskontroll gir mest robusthet.

Avsluttende tanker

TXTME minner alle om at ransomware-trusler fortsetter å utvikle seg og tilpasse seg. Selv om metodene deres gjenspeiler andre stammer i Dharma-familien, viser de skreddersydde funksjonene – som systempersistens, brannmurdeaktivering og målrettet regional unngåelse – et sofistikert planleggingsnivå.

Nettkriminelle leter stadig etter nye måter å utnytte sårbarheter på, men å holde seg informert og opprettholde god netthygiene kan utgjøre en betydelig forskjell. Ved å forstå hvordan trusler som TXTME fungerer, kan brukere og organisasjoner bedre forberede seg, reagere og gjenopprette – uten å falle i fellen med å betale digitale løsepenger.