Oprogramowanie ransomware Allahu Akbar jest prawdopodobnie wersją testową

Wariant oprogramowania ransomware znany jako Allahu Akbar został zidentyfikowany przez nasz zespół badawczy podczas badania nowo przesłanych próbek złośliwego oprogramowania. To złośliwe oprogramowanie działa poprzez szyfrowanie danych, a następnie żądanie zapłaty w zamian za dostarczenie klucza deszyfrującego.

W naszym środowisku eksperymentalnym oprogramowanie ransomware Allahu Akbar przeprowadzało szyfrowanie plików i modyfikowało ich nazwy. W szczególności dodał rozszerzenie „.allahuakbar” do oryginalnych nazw plików. Na przykład plik o nazwie „1.jpg” został zmieniony na „1.jpg.allahuakbar”, a „2.png” na „2.png.allahuakbar” i tak dalej.

Po zakończeniu procedury szyfrowania została wygenerowana notatka z żądaniem okupu o nazwie „how_to_decrypt.txt”. Treść tej notatki wskazuje, że oprogramowanie ransomware jest prawdopodobnie nadal w fazie rozwoju. Notatka informuje ofiarę o zaszyfrowaniu jej plików i zapewnia, że osoby atakujące posiadają środki umożliwiające przywrócenie zablokowanych danych. W ramach demonstracji swoich możliwości ofierze oferowana jest możliwość bezpłatnego przetestowania procesu deszyfrowania na trzech plikach.

Aby kontynuować odszyfrowywanie, ofiara jest proszona o zapłacenie okupu za pomocą kryptowaluty Bitcoin. Notatka zawiera wskazówki dotyczące inicjowania tej płatności, ale podane dane kontaktowe są nieprawidłowe. Sugeruje to, że oprogramowanie ransomware Allahu Akbar wciąż jest w fazie rozwoju.

Uwaga dotycząca okupu Allahu Akbar wykorzystuje zastępcze dane kontaktowe

Pełny tekst listu z żądaniem okupu od Allahu Akbar brzmi następująco:

Wszystkie twoje pliki zostały zaszyfrowane.

Ponieważ nie dbasz o bezpieczeństwo, my, Zespół Allahu Akbar, pomagamy Ci je bezpiecznie przechowywać.

Możesz wysłać 3 swoje zaszyfrowane pliki, a my odszyfrujemy je za darmo.

Musisz wykonać następujące kroki, aby odszyfrować swoje pliki:
1) Napisz na nasz e-mail: test@test.com (W przypadku braku odpowiedzi w ciągu 24 godzin sprawdź folder ze spamem
lub napisz do nas na ten e-mail: test2@test.com)

2) Zdobądź Bitcoin (Musisz zapłacić za odszyfrowanie w Bitcoinach.
Po dokonaniu płatności wyślemy Ci narzędzie, które odszyfruje wszystkie Twoje pliki.)

W jaki sposób oprogramowanie ransomware, takie jak Allahu Akbar, jest powszechnie dystrybuowane online?

Dystrybucja oprogramowania ransomware, w tym wariantów takich jak „Allahu Akbar”, zazwyczaj obejmuje różne taktyki i techniki, które wykorzystują luki w zabezpieczeniach, ludzkie zachowanie i słabości w zabezpieczeniach. Chciałbym jednak wyjaśnić, że termin „Allahu Akbar” jest zwrotem używanym w islamskich modlitwach i niekoniecznie ma bezpośredni związek z dystrybucją ransomware. Ważne jest, aby nie tworzyć nieuzasadnionych skojarzeń między terminami technicznymi a wyrażeniami kulturowymi lub religijnymi.

Ogólnie rzecz biorąc, oprogramowanie ransomware jest powszechnie dystrybuowane przy użyciu następujących metod:

• E-maile phishingowe: osoby atakujące często wysyłają e-maile, które wyglądają na wiarygodne i zawierają złośliwe załączniki lub łącza. Te e-maile mogą podszywać się pod znane firmy, banki lub organizacje rządowe, nakłaniając odbiorców do otwarcia załącznika lub kliknięcia łącza. Po kliknięciu ładunek ransomware jest wykonywany.
• Złośliwe łącza: Cyberprzestępcy mogą wysyłać łącza za pośrednictwem wiadomości e-mail, mediów społecznościowych lub platform komunikacyjnych, które prowadzą do zainfekowanych stron internetowych lub plików do pobrania. Linki te mogą udawać nieszkodliwe adresy URL, ale ostatecznie dostarczają ransomware na urządzenie ofiary.
• Malvertising: Złośliwe reklamy mogą być umieszczane na legalnych stronach internetowych. Kliknięcie tych reklam może prowadzić do pobrań typu drive-by download, w których ransomware jest po cichu pobierane i uruchamiane w systemie ofiary bez jej wiedzy.
• Zestawy exploitów: Są to złośliwe zestawy narzędzi, których celem są znane luki w zabezpieczeniach aplikacji. Jeśli oprogramowanie użytkownika nie jest aktualne, odwiedzenie zainfekowanej strony internetowej może prowadzić do automatycznego pobrania i zainstalowania ransomware.
• Ataki Remote Desktop Protocol (RDP): atakujący wykorzystują słabe lub przejęte dane uwierzytelniające RDP, aby uzyskać nieautoryzowany dostęp do systemu ofiary. Po wejściu do środka wdrażają ransomware.
• Łączenie oprogramowania: niektóre programy ransomware są dostarczane w pakiecie z pozornie legalnym oprogramowaniem lub plikami do pobrania. Użytkownicy, którzy nieświadomie pobierają i instalują takie oprogramowanie, również instalują ransomware.
• Drive-by Downloads: zwykłe odwiedzenie zainfekowanej strony internetowej może spowodować automatyczne pobranie i uruchomienie oprogramowania ransomware z powodu luk w zabezpieczeniach przeglądarki użytkownika lub wtyczek.
• USB i nośniki wymienne: osoby atakujące mogą zainfekować dyski USB lub inne nośniki wymienne oprogramowaniem ransomware. Po podłączeniu zainfekowanego nośnika do komputera ransomware się rozprzestrzenia.