Baal Ransomware to nowy klon Chaosu

Podczas badania nowych zagrożeń przesłanych do internetowych baz danych analizy zagrożeń nasz zespół natrafił na szkodliwe oprogramowanie Baal, które bazuje na oprogramowaniu ransomware Chaos. Przeprowadziliśmy przykładowe wykonanie oprogramowania ransomware Baal na naszym systemie testowym, co skutkowało zaszyfrowaniem plików i zmianą ich nazw. Oryginalne nazwy zostały zmodyfikowane przez dodanie czteroznakowego rozszerzenia, które zostało wygenerowane losowo, na przykład plik początkowo nazwany „1.jpg” pojawił się jako „1.jpg.vkwp” i tak dalej.

Po procesie szyfrowania utworzono żądanie okupu o nazwie „read_it.txt”, a także zmieniono tapetę pulpitu. Wiadomość z żądaniem okupu informuje ofiary, że ich dane zostały zaszyfrowane, a jedynym sposobem na ich odzyskanie jest zapłacenie okupu atakującym. Notatka zawiera również opcję testowania deszyfrowania poprzez wysłanie cyberprzestępcom trzech zaszyfrowanych plików.

Atakujący żądają okupu w wysokości 121 BTC, co odpowiada około 2,6 mln USD przy obecnym kursie wymiany. Tych dużych sum zazwyczaj żąda się od organizacji, instytucji i firm, a nie od użytkowników domowych. Po dokonaniu płatności notatka instruuje ofiary, aby wysłały zrzut ekranu transakcji do atakujących i otrzymują sześciodniowy termin na spełnienie żądania okupu.

Baal używa długiego listu z żądaniem okupu

Żądanie okupu wygenerowane przez ransomware Baal brzmi następująco:

TWOJE DANE OSOBOWE SĄ TERAZ SZYFROWANE Z POMOCĄ WOJSKOWEGO SZYFROWANIA PRZEZ BAAL RANSOMWARE

Wszystkie pliki na wszystkich zagrożonych komputerach i w sieci zostały zaszyfrowane za pomocą Baal Ransomware Encryption.
Jakie gwarancje Ci dajemy?
Możesz przesłać nam 2 dowolne zaszyfrowane pliki w celu odszyfrowania, a następnie odesłać je z powrotem.

Kto jest odpowiedzialny za opłatę za okup?
Organizacja mennicy SARB & SA, a nie jej pracownicy lub współpracownicy, będzie musiała uiścić opłatę, aby uzyskać unikalny kod deszyfrujący i narzędzie, które zawiera klucz prywatny powiązany z tym konkretnym szyfrowaniem.

UWAGA: Wszystkie dane są szyfrowane (blokowane), a nie nadpisywane, dlatego można je odszyfrować tylko za pomocą powiązanego klucza.

Masz tylko 6 (sześć) dni na opłacenie okupu w Bitcoin.

Instrukcje:

1. Wyślij 121 BTC (Bitcoins) na następujący adres odbiorcy:

ciąg znaków alfanumerycznych

Uwaga: Wszystkie transakcje Bitcoin wymagają sześciu potwierdzeń w łańcuchu blokowym od górników przed przetworzeniem. Ogólnie rzecz biorąc, wysłanie Bitcoina może zająć od kilku sekund do ponad 60 minut. Zazwyczaj jednak zajmuje to od 10 do 20 minut. W większości przypadków transakcje Bitcoin wymagają od 1 do 1,5 godziny.

2. Wyślij zrzut ekranu z identyfikatorem transakcji łańcucha bloków bez linku na adres e-mail:

blackbastabaalransomware@protonmail.com

3. Po potwierdzeniu transakcji. Wyślemy e-mailem narzędzie do deszyfrowania jednym kliknięciem, aby w pełni odszyfrować i odzyskać wszystkie pliki oraz trwale usunąć oprogramowanie ransomware ze wszystkich komputerów i sieci. (Nie jest wymagane wykształcenie informatyczne).
4. Odszyfrowywanie zwykle trwa od kilku minut do godziny, w zależności od skali i rozmiaru plików oraz dodatkowych dysków, które oprogramowanie ransomware rozprzestrzeniło w sieci.

Jakie gwarancje Ci dajemy?
Możesz wysłać 3 zaszyfrowane pliki, a my odszyfrujemy je i odeślemy.

Masz 6 dni, aż klucze deszyfrujące zostaną zakończone, a wszystkie dane na zagrożonych komputerach i sieciach nigdy nie zostaną odzyskane. Korzystamy z szyfrowania AES klasy wojskowej. Bez połączonego klucza deszyfrującego możesz po prostu zapomnieć o odzyskaniu zaszyfrowanych danych.

---

„Błogosławieni mocni, albowiem oni posiądą ziemię” – Codex Saerus

Dlaczego płacenie okupu hakerom nie jest dobrym pomysłem?

Zasadniczo płacenie okupu hakerom nie jest dobrym pomysłem z kilku powodów. Po pierwsze, zapłacenie okupu nie gwarantuje, że osoby atakujące faktycznie dostarczą klucz deszyfrujący lub uwolnią zaszyfrowane pliki. Po drugie, zapłacenie okupu zachęca do dalszych ataków i wzmacnia zachowanie cyberprzestępców. Po trzecie, środki uzyskane z zapłaty okupu mogą zostać wykorzystane do finansowania innej działalności przestępczej. Wreszcie, nie ma sposobu, aby upewnić się, że osoby atakujące nie wrócą po więcej pieniędzy w przyszłości, nawet po zapłaceniu okupu. W rezultacie eksperci generalnie zalecają, aby nie płacić okupu i zamiast tego szukać pomocy specjalistów od cyberbezpieczeństwa w odzyskaniu zaszyfrowanych plików, jeśli to możliwe.