HUNTER Ransomware szyfruje zawartość systemu

Podczas badania próbek złośliwego oprogramowania odkryliśmy HUNTER, odmianę oprogramowania ransomware należącego do rodziny Phobos. Szkodnik ten szyfruje pliki, modyfikuje ich nazwy i przedstawia dwie notatki z żądaniem okupu oznaczone „info.txt” i „info.hta”. Co więcej, ransomware HUNTER dołącza do nazw plików identyfikator ofiary, adres e-mail i rozszerzenie „.HUNTER”.

Na przykład przekształca „1.jpg” w „1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER” i „2.png” w „2.png.id[ 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER” i tak dalej. Notatka z żądaniem okupu informuje ofiarę o szyfrowaniu jej plików ze względu na problem z bezpieczeństwem na jej komputerze. Podaje adres e-mail (hunter-x@tuta.io) do komunikacji z atakującymi i zaleca podanie konkretnego identyfikatora w temacie wiadomości e-mail. W przypadku braku odpowiedzi w ciągu 24 godzin ofiara jest proszona o skontaktowanie się z napastnikami za pośrednictwem konta na Telegramie (@Online7_365).

Notatka wymaga zapłaty w Bitcoinach za odszyfrowanie, a kwota różni się w zależności od tego, jak szybko ofiara skontaktuje się z atakującymi. W ramach gwarancji oferuje bezpłatne odszyfrowanie do trzech plików, pod warunkiem, że mają one mniej niż 4 MB i nie zawierają cennych informacji.

Ponadto ofiara jest ostrzegana przed zmianą nazwy zaszyfrowanych plików lub próbami odszyfrowania przy użyciu oprogramowania stron trzecich, aby uniknąć trwałej utraty danych lub padnięcia ofiarą oszustwa.

Pełna treść żądania okupu HUNTER

Pełny tekst żądania okupu wygenerowanego przez HUNTER w wyskakującym oknie i pliku info.hta brzmi następująco:

All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

W jaki sposób oprogramowanie ransomware podobne do HUNTER może zainfekować Twój system?

Ransomware podobny do HUNTER może zainfekować Twój system na różne sposoby, w tym:

E-maile phishingowe: Jedną z powszechnych metod są e-maile phishingowe zawierające złośliwe załączniki lub łącza. Te e-maile mogą wydawać się uzasadnione i często wykorzystują taktykę inżynierii społecznej, aby nakłonić użytkowników do otwarcia załączników lub kliknięcia łączy, które następnie pobierają i uruchamiają oprogramowanie ransomware w systemie.

Złośliwe witryny internetowe: odwiedzanie zainfekowanych lub złośliwych witryn internetowych może również prowadzić do infekcji oprogramowaniem ransomware. Strony te mogą wykorzystywać luki w przeglądarkach internetowych lub wtyczkach do cichego pobierania i instalowania oprogramowania ransomware w systemie ofiary bez jej wiedzy i zgody.

Wykorzystywanie luk w oprogramowaniu: Ransomware może wykorzystywać luki w oprogramowaniu, takim jak systemy operacyjne, przeglądarki internetowe lub wtyczki, w celu uzyskania nieautoryzowanego dostępu do systemu. Atakujący mogą wykorzystać znane luki, dla których nie zastosowano łat ani aktualizacji, umożliwiając oprogramowaniu ransomware przedostanie się do systemu.

Ataki na protokół Remote Desktop Protocol (RDP): osoby atakujące ransomware mogą atakować systemy z odsłoniętymi lub słabo zabezpieczonymi połączeniami protokołu Remote Desktop Protocol (RDP). Mogą stosować ataki typu brute-force lub uzyskiwać skradzione dane uwierzytelniające, aby uzyskać nieautoryzowany dostęp do systemu i wdrożyć oprogramowanie ransomware.

Złośliwe pliki do pobrania: użytkownicy mogą nieumyślnie pobrać oprogramowanie ransomware, klikając złośliwe reklamy, pobierając pirackie oprogramowanie lub treści z niezaufanych źródeł lub instalując fałszywe aktualizacje oprogramowania lub aplikacje z podejrzanych witryn internetowych.

Złośliwe reklamy: złośliwe reklamy, czyli złośliwe reklamy, mogą przekierowywać użytkowników do witryn internetowych zawierających zestawy exploitów dostarczających oprogramowanie ransomware. Reklamy te mogą pojawiać się na legalnych stronach internetowych i mogą infekować systemy użytkowników bez ich interakcji i wiedzy.

Pobieranie dyskowe: oprogramowanie ransomware może być również dostarczane poprzez pobieranie dyskowe, podczas którego złośliwe oprogramowanie jest automatycznie pobierane i uruchamiane, gdy użytkownik odwiedza zaatakowaną witrynę internetową lub wchodzi w interakcję ze złośliwą zawartością osadzoną na stronach internetowych.