Ransomware 3AM blokuje pliki ofiar

3AM to program ransomware napisany w języku programowania Rust. Jego głównym celem jest szyfrowanie plików. Po zakończeniu procesu szyfrowania próbuje usunąć kopie woluminów w tle (VSS). Ponadto 3AM dodaje rozszerzenie „.threeamtime” do nazw zaszyfrowanych plików i przedstawia wiadomość z żądaniem okupu o nazwie „RECOVER-FILES.txt”.

Aby zilustrować, jak 3AM zmienia nazwy plików, przekształca „1.jpg” w „1.jpg.threeamtime”, „2.png” w „2.png.threeamtime” i tak dalej. Notatka z żądaniem okupu zawarta w pliku „RECOVER-FILES.txt” informuje ofiary, że ich pliki zostały zaszyfrowane, a ich systemy mogą wydawać się niesprawne, ponieważ kopie zapasowe nie są już dostępne. Uwaga zdecydowanie odradza podejmowanie prób samodzielnego przywracania danych, podkreślając ryzyko dalszej utraty danych i nieodwracalnych uszkodzeń.

Co więcej, w notatce ujawniono, że z sieci lokalnej wykradziono wrażliwe dane, obejmujące dokumentację finansową, dane osobowe, dokumenty związane z pracą i inne, przy zapewnieniu poufności, aby zapobiec szkodom dla firm. Notatka sugeruje rozpoczęcie negocjacji, aby zapobiec sprzedaży danych w ciemnej sieci, podanie danych kontaktowych za pośrednictwem przeglądarki Tor i powołanie się na klucz dostępu do negocjacji.

W nocie okupu z 3 nad ranem nie ma wzmianki o kwocie okupu

Pełny tekst żądania okupu z godziny 3 nad ranem wygląda następująco:

Hello. "3 am" The time of mysticism, isn't it?

All your files are mysteriously encrypted, and the systems "show no signs of life", the backups disappeared. But we can correct this very quickly and return all your files and operation of the systems to original state.

All your attempts to restore data by himself will definitely lead to their damage and the impossibility of recovery. We are not recommended to you to do it on our own!!! (or do at your own peril and risk).

There is another important point: we stole a fairly large amount of sensitive data from your local network: financial documents; personal information of your employees, customers, partners; work documentation, postal correspondence and much more.

We prefer to keep it secret, we have no goal to destroy your business. Therefore can be no leakage on our part.

We propose to reach an agreement and conclude a deal.

Otherwise, your data will be sold to DarkNet/DarkWeb. One can only guess how they will be used.

Please contact us as soon as possible, using Tor-browser:

Access key:

W jaki sposób rozpowszechniane jest oprogramowanie ransomware Like 3AM?

Ransomware takie jak 3AM jest zazwyczaj dystrybuowane za pomocą różnych metod i wektorów ataku. Oto kilka typowych metod dystrybucji:

• E-maile phishingowe: Cyberprzestępcy często wykorzystują e-maile phishingowe do dystrybucji oprogramowania ransomware. Wysyłają złośliwe e-maile, które wydają się uzasadnione, często podszywając się pod zaufane podmioty lub używając kuszących tematów. Te e-maile zawierają złośliwe załączniki lub łącza, które po kliknięciu lub otwarciu pobierają i uruchamiają oprogramowanie ransomware na urządzeniu ofiary.
• Złośliwe załączniki: oprogramowanie ransomware może rozprzestrzeniać się poprzez załączniki do wiadomości e-mail, takie jak zainfekowane dokumenty (np. pliki Word lub PDF) lub pliki wykonywalne (np. pliki .exe lub .js). Kiedy ofiara otwiera te załączniki, aktywuje się oprogramowanie ransomware.
• Złośliwe reklamy: złośliwe reklamy (złośliwe reklamy) w witrynach internetowych lub reklamach online mogą prowadzić użytkowników do witryn zawierających zestawy exploitów. Zestawy te mogą wykorzystywać luki w przeglądarce internetowej ofiary lub wtyczkach w celu dostarczania oprogramowania ransomware.
• Pobieranie metodą drive-by: cyberprzestępcy mogą naruszać legalne strony internetowe i wprowadzać do nich szkodliwy kod. Gdy użytkownicy odwiedzają te zainfekowane witryny, ich urządzenia mogą zostać zainfekowane bez konieczności jakiejkolwiek interakcji.
• Ataki na protokół Remote Desktop Protocol (RDP): Jeśli protokół RDP jest włączony i nie jest odpowiednio zabezpieczony w systemie ofiary, osoby atakujące mogą próbować uzyskać dostęp, odgadując słabe hasła lub stosując ataki typu brute-force. Po wejściu do środka mogą ręcznie wdrożyć oprogramowanie ransomware.
• Luki w oprogramowaniu: autorzy ransomware mogą wykorzystywać znane luki w systemach operacyjnych lub oprogramowaniu, aby uzyskać dostęp do systemu ofiary. Aktualizowanie oprogramowania i systemów za pomocą poprawek zabezpieczeń może pomóc ograniczyć to ryzyko.
• Złośliwe linki: Cyberprzestępcy mogą również rozpowszechniać oprogramowanie ransomware za pomocą socjotechniki w mediach społecznościowych, platformach komunikatorów internetowych lub nakłaniając użytkowników do kliknięcia złośliwych łączy.
• USB i nośniki wymienne: oprogramowanie ransomware może rozprzestrzeniać się za pośrednictwem zainfekowanych dysków USB lub innych nośników wymiennych. Kiedy użytkownik podłączy zainfekowany dysk do swojego komputera, oprogramowanie ransomware może uruchomić się i rozpocząć szyfrowanie plików.