Trash Panda Ransomware geeft ongebruikelijk losgeldbericht weer
Tijdens ons routineonderzoek van recente ingediende bestanden stuitte onze onderzoeksgroep op de Trash Panda-ransomwarevariant. Deze specifieke schadelijke software is ontdekt als onderdeel van onze voortdurende inspanningen om opkomende bedreigingen te onderzoeken.
Na het uitvoeren van een voorbeeld van Trash Panda op onze gecontroleerde testomgeving, startte het programma onmiddellijk zijn gegevensversleutelingsroutine. Als gevolg hiervan werden bestandsnamen gewijzigd met de toevoeging van een ".monochrome" extensie. Een bestand met de naam "1.jpg" werd bijvoorbeeld snel omgezet in "1.jpg.monochrome", terwijl "2.png" werd "2.png.monochrome", enzovoort. Zodra dit coderingsproces zijn einde had bereikt, werd een begeleidende losgeldnota met het label "[random_string]-readme.html" gegenereerd.
De losgeldbrief die door Trash Panda wordt gebruikt, brengt de verontrustende boodschap over dat de bestanden van het slachtoffer veilig zijn versleuteld. In de notitie wordt verder gepleit voor het bereiken van de kwaadwillende actoren achter de aanval om het herstelproces voor de gecompromitteerde gegevens te starten. Er is een cruciale waarschuwing opgenomen, die onderstreept dat het niet tot stand brengen van contact met de cybercriminelen voordat de aftelklok nul bereikt, zal resulteren in de permanente verwijdering van de decoderingssleutel, waardoor alle pogingen tot gegevensherstel in feite zinloos worden.
Trash Panda losgeldnota verwijst naar militair conflict
De volledige tekst van de Trash Panda-ransomware gebruikt leet-speak, waarbij letters door cijfers worden vervangen, en verwijst naar een soort gewapend conflict zonder iets specifieks te noemen. De nota luidt als volgt:
Team Trash Panda was hier
Al uw bestanden zijn weggegooid door onze
7r45H P4ND4 Asomeware
Laten we een D341 maken. Jij bevrijdt onze mensen. Wij bevrijden uw gegevens.
Probeer geen enkel bestand te herstellen. Alle bestanden werden weggegooid met behulp van een zeer geavanceerde coderingsstandaard die is opgesteld door het Amerikaanse National Institute of Standards and Technology (NIST). U kunt de volgende link bekijken om te zien hoe uw bestanden in de prullenbak zijn geraakt. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Wij geven niets om uw gegevens. Het maakt ons niet uit geld. We willen dat onze familie naar ons terugkeert en dat JIJ ONS MOEDERLAND VERLAAT.
Oh, trouwens, je hebt weinig tijd om een beslissing te nemen. We zullen de hoofdsleutel verwijderen nadat de aftelklok is verlopen. Schiet op ~ Schiet op ~
UW SLEUTEL WORDT NA VERWIJDERD
(afteltimer)U kunt contact met ons opnemen via -
Als u uw bestanden terug wilt, plaatst u de volgende sleutel in het invoerformulier. We nemen later contact met je op
Hoe wordt ransomware zoals Trash Panda online verspreid?
De verspreiding van ransomware zoals Trash Panda omvat doorgaans een verscheidenheid aan tactieken en technieken die zijn ontworpen om kwetsbaarheden, gebruikersgedrag en technologische zwakheden uit te buiten. Hoewel ik geen specifieke informatie heb over de distributiemethoden van "Trash Panda", aangezien mijn kennisgrens in september 2021 valt, kan ik u algemene inzichten geven in hoe ransomware gewoonlijk wordt verspreid:
- Phishing-e-mails: Cybercriminelen sturen vaak overtuigende e-mails die afkomstig lijken te zijn van legitieme bronnen en kwaadaardige bijlagen of links bevatten. Wanneer gebruikers interactie hebben met deze bijlagen of links, wordt de payload van de ransomware gedownload en uitgevoerd op hun systeem.
- Malvertising: Kwaadaardige advertenties op websites of advertentienetwerken kunnen gebruikers naar websites leiden die ransomware hosten. Het simpelweg bezoeken van een gecompromitteerde website kan de download van de ransomware op de computer van het slachtoffer activeren.
- Drive-by-downloads: cybercriminelen kunnen misbruik maken van kwetsbaarheden in software, plug-ins of browsercomponenten om ransomware op het systeem van een gebruiker af te leveren zonder enige tussenkomst van de gebruiker. Dit staat bekend als een drive-by download.
- Gecompromitteerde software-installatieprogramma's: aanvallers kunnen legitieme software-installatieprogramma's infiltreren en de ransomware-payload toevoegen. Wanneer gebruikers de software van gecompromitteerde bronnen downloaden en installeren, wordt de ransomware ook geïnstalleerd.
- Remote Desktop Protocol (RDP) Aanvallen: Aanvallers kunnen zich richten op systemen met zwakke of onbeschermde RDP-verbindingen. Ze krijgen toegang en installeren handmatig ransomware, of gebruiken geautomatiseerde tools om de ransomware-payload te leveren.
- Kwaadaardige macro's: Kwaadaardige macro's die in Microsoft Office-documenten zijn ingesloten, kunnen worden gebruikt om ransomware te downloaden en uit te voeren wanneer gebruikers macro's in deze documenten inschakelen.
