Buhti Ransomware ma na celu ofiary działające zarówno w systemie Windows, jak i Linux

Buhti to rodzaj oprogramowania ransomware, którego celem są zarówno systemy Windows, jak i Linux. Podczas gdy ładunek ransomware Buhti koncentruje się głównie na komputerach z systemem Windows i jest wariantem ransomware LockBit 3.0, który wyciekł wcześniej, z pewnymi drobnymi poprawkami, ma również zmodyfikowaną wersję zaprojektowaną specjalnie do atakowania systemów Linux, wykorzystując ujawnione oprogramowanie ransomware Babuk.

Kiedy Buhti infekuje system, szyfruje pliki i zastępuje ich oryginalne nazwy ciągiem losowych znaków. Dodatkowo do każdego zaszyfrowanego pliku dołączany jest identyfikator ofiary jako nowe rozszerzenie. Na przykład plik pierwotnie nazwany „1.jpg” zostałby przekształcony w „4G8of7O.fxkJts2wg”, podczas gdy „2.png” stałby się „HePwiFM.fxkJts2wg” i tak dalej. Oprócz tego procesu szyfrowania Buhti upuszcza również żądanie okupu o nazwie „[identyfikator_ofiary].README.txt”.

Żądanie okupu zawiera wyjaśnienie, że pliki ofiary zostały zaszyfrowane przy użyciu solidnych algorytmów szyfrowania, co praktycznie uniemożliwia im samodzielne odszyfrowanie danych. Notatka twierdzi jednak, że istnieje rozwiązanie umożliwiające ofiarom odzyskanie plików — poprzez zakup specjalnego programu zwanego deszyfratorem. Okupanci uspokajają ofiary, że to oprogramowanie deszyfrujące przeszło dokładne testy i pomyślnie przywróci ich dane.

Aby odzyskać dostęp do zaszyfrowanych plików, notatka instruuje ofiary, aby skorzystały z przeglądarki internetowej i odwiedziły określoną stronę internetową. Następnie są proszeni o podanie prawidłowego adresu e-mail, który zostanie użyty do otrzymania linku do pobrania deszyfratora po dokonaniu płatności. Zapłata okupu jest wymagana w Bitcoinach, a ofiary otrzymują określony adres Bitcoin dla transakcji.

Po zakończeniu płatności ofiary otrzymają wiadomość e-mail zawierającą łącze do strony pobierania. Ta strona zawiera szczegółowe instrukcje dotyczące korzystania z deszyfratora w celu przywrócenia ich plików. Żądanie okupu podkreśla potencjalne ryzyko modyfikacji lub próby samodzielnego odzyskania plików, twierdząc, że takie działania nie doprowadzą do pomyślnego przywrócenia zaszyfrowanych danych.

Buhti żąda okupu z prośbą o zapłatę w bitcoinach

Pełny tekst żądania okupu od Buhti brzmi następująco:

Witamy w buhtiRansom

Co się stało?

Twoje pliki są zaszyfrowane. Używamy silnych algorytmów szyfrowania, więc nie możesz odszyfrować swoich danych.
Ale możesz przywrócić wszystko, kupując od nas specjalny program - uniwersalny deszyfrator. Ten program przywróci wszystkie twoje pliki.
Postępuj zgodnie z naszymi instrukcjami poniżej, a odzyskasz wszystkie swoje dane.

Jakie gwarancje?

Cenimy naszą reputację. Jeśli nie wykonamy naszej pracy i zobowiązań, nikt nam nie zapłaci. To nie leży w naszym interesie.
Całe nasze oprogramowanie deszyfrujące jest doskonale przetestowane i odszyfruje Twoje dane.

Jak uzyskać dostęp?

Korzystanie z przeglądarki:
1) Otwórz stronę internetową: hxxps://satoshidisk.com/pay/CIGsph
2) Wprowadź prawidłowy adres e-mail, aby otrzymać link do pobrania po dokonaniu płatności.
3) Zapłać kwotę na adres Bitcoin.
4) Odbierz e-mail z linkiem do strony pobierania.
5) Dołączona instrukcja odszyfrowywania.

!!! NIEBEZPIECZEŃSTWO !!!
NIE MODYFIKUJ ani nie próbuj samodzielnie ODZYSKAĆ żadnych plików. NIE BĘDZIE MOŻNA PRZYWRÓCIĆ.
!!! NIEBEZPIECZEŃSTWO !!!

W jaki sposób ransomware, takie jak Buhti, jest dystrybuowane online?

Ransomware, takie jak Buhti, jest zwykle dystrybuowane online za pomocą różnych metod, wykorzystując luki w zabezpieczeniach i stosując taktyki socjotechniczne. Oto kilka typowych kanałów dystrybucji i technik wykorzystywanych przez oprogramowanie ransomware, takie jak Buhti:

• E-maile phishingowe: Jedną z powszechnych metod są e-maile phishingowe. Atakujący wysyłają oszukańcze wiadomości e-mail, które wyglądają na prawdziwe, często podszywając się pod zaufane organizacje lub osoby. Te wiadomości e-mail mogą zawierać zainfekowane załączniki, takie jak złośliwe pliki wykonywalne lub dokumenty osadzone w makrach złośliwego oprogramowania. Otwarcie tych załączników uruchamia proces instalacji ransomware.
• Złośliwe strony internetowe i pliki do pobrania typu drive-by: Cyberprzestępcy mogą tworzyć złośliwe strony internetowe lub narażać legalne strony internetowe na rozpowszechnianie oprogramowania wymuszającego okup. Niczego niepodejrzewający użytkownicy mogą nieświadomie pobrać oprogramowanie ransomware, odwiedzając te strony lub klikając zainfekowane łącza. Pobieranie drive-by ma miejsce, gdy złośliwe oprogramowanie jest automatycznie pobierane bez zgody lub wiedzy użytkownika.
• Zestawy exploitów: Oprogramowanie ransomware może być dostarczane za pomocą zestawów exploitów, które są zestawami narzędzi wykorzystującymi luki w oprogramowaniu lub przeglądarkach internetowych. Gdy użytkownik odwiedza zaatakowaną witrynę lub klika złośliwą reklamę, zestaw exploitów skanuje pod kątem luk w zabezpieczeniach i dostarcza ładunek ransomware.
• Ataki Remote Desktop Protocol (RDP): Atakujący atakują systemy z odsłoniętymi lub słabo zabezpieczonymi połączeniami Remote Desktop Protocol. Wykorzystują ataki brute-force, aby uzyskać nieautoryzowany dostęp do systemu i zainstalować ransomware.
• Złośliwe reklamy (złośliwe reklamy): złośliwe reklamy lub złośliwe reklamy można znaleźć w legalnych witrynach internetowych i sieciach reklamowych. Reklamy te zawierają ukryte skrypty, które przekierowują użytkowników do stron internetowych hostujących ransomware lub uruchamiają automatyczne pobieranie.
• Sieci wymiany plików i pirackie oprogramowanie: Nielegalne lub złamane oprogramowanie pobrane z sieci wymiany plików często jest dostarczane w pakiecie z oprogramowaniem ransomware lub innym złośliwym oprogramowaniem. Użytkownicy chcący uzyskać oprogramowanie lub nośniki bez płacenia są narażeni na nieumyślne zainstalowanie oprogramowania ransomware.
• Wykorzystywanie luk w oprogramowaniu: Autorzy ransomware wykorzystują luki w systemach operacyjnych, aplikacjach lub usługach sieciowych. Celując w niezałatane lub nieaktualne oprogramowanie, mogą uzyskać nieautoryzowany dostęp i wdrożyć ładunek ransomware.

Ważne jest, aby aktualizować oprogramowanie zabezpieczające, regularnie instalować poprawki i aktualizacje oprogramowania, zachować ostrożność podczas otwierania załączników do wiadomości e-mail lub klikania podejrzanych łączy oraz używać silnych, unikalnych haseł, aby zminimalizować ryzyko stania się ofiarą ataków ransomware.