Deep Ransomware zablokuje Twój system

Przeglądając najnowsze przesłane pliki, nasi badacze natknęli się na program ransomware znany jako Deep, który należy do rodziny ransomware Phobos. Deep (Phobos) działa poprzez szyfrowanie danych, a następnie żądanie zapłaty w zamian za klucz deszyfrujący.

W naszym systemie testowym to oprogramowanie ransomware szyfrowało pliki i modyfikowało ich nazwy. Oryginalne nazwy plików zostały rozszerzone o unikalny identyfikator przypisany ofierze, adres e-mail cyberprzestępców oraz rozszerzenie „.deep”. Na przykład plik pierwotnie nazwany „1.jpg” będzie wyświetlany jako „1.jpg.id[9ECFA84E-3352].[captain-america@tuta.io].deep”.

Po zakończeniu procesu szyfrowania utworzono notatki z żądaniem okupu, które wyświetlały się zarówno w wyskakującym oknie o nazwie „info.hta”, jak i w pliku tekstowym o nazwie „info.txt”.

Plik tekstowy powiązany z oprogramowaniem ransomware Deep (Phobos) stwierdza, że pliki ofiary zostały zaszyfrowane i namawia ją do skontaktowania się z atakującymi w celu uzyskania pomocy w odszyfrowaniu.

Wyskakujące okienko dostarcza dodatkowych informacji na temat infekcji ransomware, wyjaśniając, że odzyskanie danych można osiągnąć jedynie poprzez zapłacenie okupu w kryptowalucie Bitcoin. Przed dokonaniem płatności ofiara ma możliwość przetestowania procesu odszyfrowania, wysyłając cyberprzestępcom maksymalnie trzy zaszyfrowane pliki zgodnie z określonymi specyfikacjami.

Notatkę kończą ostrzeżenia przed zmianą nazwy zaszyfrowanych plików lub próbami korzystania z oprogramowania do odzyskiwania danych innych firm, ponieważ może to spowodować trwałą utratę danych. Dodatkowo zwrócenie się o pomoc do osób trzecich może prowadzić do zwiększonych strat finansowych.

Uwaga dotycząca oprogramowania Deep Ransomware wykorzystuje szablon Phobos

Pełny tekst żądania okupu wygenerowanego przez ransomware Deep brzmi następująco:

Wszystkie Twoje pliki zostały zaszyfrowane!

Wszystkie Twoje pliki zostały zaszyfrowane ze względu na problem z bezpieczeństwem Twojego komputera. Jeśli chcesz je przywrócić, napisz do nas na e-mail Captain-america@tuta.io
Wpisz ten identyfikator w tytule wiadomości -
Jeśli nie otrzymasz odpowiedzi w ciągu 24 godzin, skontaktuj się z nami za pośrednictwem konta Telegram.org: @HostUppp
Za odszyfrowanie musisz zapłacić w Bitcoinach. Cena zależy od tego jak szybko do nas napiszesz. Po dokonaniu płatności wyślemy Ci narzędzie, które odszyfruje wszystkie Twoje pliki.

Bezpłatne odszyfrowanie jako gwarancja
Przed dokonaniem płatności możesz przesłać nam maksymalnie 3 pliki do bezpłatnego odszyfrowania. Całkowity rozmiar plików musi być mniejszy niż 4 MB (nie zarchiwizowane), a pliki nie powinny zawierać cennych informacji. (bazy danych, kopie zapasowe, duże arkusze Excel itp.)

Jak zdobyć Bitcoiny
Najłatwiejszym sposobem zakupu bitcoinów jest strona LocalBitcoins. Musisz się zarejestrować, kliknąć „Kup bitcoiny” i wybrać sprzedawcę według metody płatności i ceny.
hxxps://localbitcoins.com/buy_bitcoins
Możesz także znaleźć inne miejsca do zakupu Bitcoinów i przewodnik dla początkujących tutaj:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Uwaga!
Nie zmieniaj nazw zaszyfrowanych plików.
Nie próbuj odszyfrowywać swoich danych za pomocą oprogramowania stron trzecich, może to spowodować trwałą utratę danych.
Odszyfrowanie Twoich plików przy pomocy osób trzecich może spowodować wzrost ceny (doliczają one swoją opłatę do naszej) lub możesz stać się ofiarą oszustwa.

W jaki sposób oprogramowanie ransomware typu Deep może dostać się do Twojego systemu?

Ransomware takie jak Deep może przeniknąć do Twojego systemu na różne sposoby, często wykorzystując luki w zabezpieczeniach lub stosując taktykę inżynierii społecznej. Oto kilka typowych sposobów, w jakie oprogramowanie ransomware może przedostać się do Twojego systemu:

• E-maile phishingowe: Cyberprzestępcy wysyłają przekonujące, ale złośliwe e-maile, które wydają się pochodzić z zaufanych źródeł. Te e-maile mogą zawierać załączniki lub łącza, które po otwarciu wykonują kod ransomware w Twoim systemie.
• Złośliwe witryny internetowe: odwiedzanie zainfekowanych lub złośliwych witryn internetowych może spowodować pobieranie plików typu drive-by, podczas którego oprogramowanie ransomware jest automatycznie pobierane i uruchamiane w systemie bez Twojej wiedzy.
• Zainfekowane oprogramowanie lub pliki: Pobieranie oprogramowania lub plików z niezaufanych źródeł, zwłaszcza pirackiego lub crackowanego oprogramowania, zwiększa ryzyko infekcji ransomware. Pliki te mogą zawierać ukryte złośliwe oprogramowanie.
• Wykorzystywanie luk w zabezpieczeniach: Ransomware może wykorzystywać luki w zabezpieczeniach oprogramowania w systemie operacyjnym lub aplikacjach. Jeśli nie zaktualizujesz oprogramowania i nie zastosujesz poprawek zabezpieczeń, Twój system będzie podatny na takie ataki.
• Ataki na protokół Remote Desktop Protocol (RDP): jeśli masz włączony protokół RDP i używasz słabych lub łatwych do odgadnięcia haseł, osoby atakujące mogą uzyskać zdalny dostęp do Twojego systemu i zainstalować oprogramowanie ransomware.
• Złośliwe reklamy: cyberprzestępcy mogą umieszczać złośliwe reklamy w legalnych witrynach internetowych. Kliknięcie tych reklam lub nawet samo odwiedzenie zainfekowanej witryny może spowodować infekcję ransomware.
• Inżynieria społeczna: osoby atakujące mogą podszywać się pod personel pomocy technicznej lub inne godne zaufania osoby, aby nakłonić Cię do pobrania lub uruchomienia oprogramowania ransomware.
• USB i nośniki wymienne: złośliwe oprogramowanie może rozprzestrzeniać się poprzez zainfekowane dyski USB lub inne nośniki wymienne. Podłączenie zainfekowanego urządzenia może spowodować wprowadzenie oprogramowania ransomware do systemu.