HUNTER Ransomware codeert de systeeminhoud
Tijdens ons onderzoek van malwaremonsters ontdekten we HUNTER, een variant van ransomware behorend tot de Phobos-familie. Deze malware versleutelt bestanden, wijzigt hun bestandsnamen en presenteert twee losgeldbriefjes met de naam 'info.txt' en 'info.hta'. Bovendien voegt de HUNTER-ransomware de ID van het slachtoffer, een e-mailadres en de extensie ".HUNTER" toe aan de bestandsnamen.
Het transformeert bijvoorbeeld "1.jpg" in "1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER" en "2.png" in "2.png.id[ 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER", enzovoort. De losgeldbrief vertelt het slachtoffer over de versleuteling van zijn bestanden vanwege een beveiligingsprobleem op zijn pc. Het biedt een e-mailadres (hunter-x@tuta.io) voor communicatie met de aanvallers en adviseert om een specifieke ID op te nemen in de onderwerpregel van de e-mail. Als er binnen 24 uur geen reactie komt, wordt het slachtoffer gevraagd contact op te nemen met de aanvallers via een Telegram-account (@Online7_365).
Het briefje vereist betaling in Bitcoins voor decodering, waarbij het bedrag varieert afhankelijk van hoe snel het slachtoffer contact opneemt met de aanvallers. Als garantie biedt het gratis decodering van maximaal drie bestanden, op voorwaarde dat deze kleiner zijn dan 4 MB en geen waardevolle informatie bevatten.
Bovendien wordt het slachtoffer gewaarschuwd tegen het hernoemen van versleutelde bestanden of het proberen te ontsleutelen met behulp van software van derden om permanent gegevensverlies of het ten prooi vallen aan oplichting te voorkomen.
HUNTER Losgeldbrief volledig
De volledige tekst van de losgeldbrief gegenereerd door HUNTER in het pop-upvenster en het info.hta-bestand luidt als volgt:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Hoe kan ransomware vergelijkbaar met HUNTER uw systeem infecteren?
Ransomware vergelijkbaar met HUNTER kan uw systeem op verschillende manieren infecteren, waaronder:
Phishing-e-mails: Een veelgebruikte methode is het gebruik van phishing-e-mails die kwaadaardige bijlagen of links bevatten. Deze e-mails kunnen legitiem lijken en maken vaak gebruik van social engineering-tactieken om gebruikers te misleiden om bijlagen te openen of op links te klikken, waarna de ransomware wordt gedownload en op het systeem wordt uitgevoerd.
Schadelijke websites: Het bezoeken van gecompromitteerde of kwaadaardige websites kan ook leiden tot ransomware-infecties. Deze websites kunnen kwetsbaarheden in webbrowsers of plug-ins misbruiken om ongemerkt ransomware te downloaden en te installeren op het systeem van het slachtoffer, zonder hun medeweten of toestemming.
Exploitatie van kwetsbaarheden in software: Ransomware kan kwetsbaarheden in software, zoals besturingssystemen, webbrowsers of plug-ins, misbruiken om ongeautoriseerde toegang tot een systeem te verkrijgen. Aanvallers kunnen bekende kwetsbaarheden waarvoor geen patches of updates zijn toegepast, misbruiken, waardoor de ransomware het systeem kan infiltreren.
Remote Desktop Protocol (RDP)-aanvallen: Ransomware-aanvallers kunnen zich richten op systemen met zichtbare of zwak beveiligde Remote Desktop Protocol (RDP)-verbindingen. Ze kunnen brute-force-aanvallen gebruiken of gestolen inloggegevens verkrijgen om ongeautoriseerde toegang tot het systeem te verkrijgen en ransomware te implementeren.
Schadelijke downloads: Gebruikers kunnen onbedoeld ransomware downloaden door op kwaadaardige advertenties te klikken, illegale software of inhoud van onbetrouwbare bronnen te downloaden of valse software-updates of applicaties van dubieuze websites te installeren.
Malvertising: Schadelijke advertenties, of malvertising, kunnen gebruikers omleiden naar websites die exploitkits hosten die ransomware-payloads leveren. Deze advertenties kunnen op legitieme websites verschijnen en kunnen de systemen van gebruikers infecteren zonder hun interactie of medeweten.
Drive-by downloads: Ransomware kan ook worden geleverd via drive-by downloads, waarbij malware automatisch wordt gedownload en uitgevoerd wanneer een gebruiker een gecompromitteerde website bezoekt of interageert met schadelijke inhoud die is ingesloten in webpagina's.
