EXISC Ransomware atakuje korporacje i firmy

Podczas badania nowych zgłoszeń na stronie VirusTotal natknęliśmy się na program ransomware o nazwie EXISC. Jego głównym celem jest szyfrowanie danych i żądanie zapłaty w zamian za ich odszyfrowanie.

Po wykonaniu próbki EXISC w naszym systemie testowym zauważyliśmy, że pomyślnie zaszyfrował pliki i dodał rozszerzenie „.EXISC” do ich oryginalnych nazw plików. Na przykład plik o nazwie „1.jpg” zostałby przekształcony w „1.jpg.EXISC”, a „2.png” w „2.png.EXISC” i tak dalej.

Po procesie szyfrowania EXISC wygenerował żądanie okupu zatytułowane „Proszę o kontakt w celu przywrócenia pliku.txt”. Z treści tej wiadomości wynikało, że celem oprogramowania ransomware są przede wszystkim duże organizacje, a nie indywidualni użytkownicy domowi.

Żądanie okupu informuje ofiarę, że sieć jej firmy została naruszona. Zakres szkód jest przedstawiony w następujący sposób: pliki zostały zaszyfrowane, a wrażliwe lub poufne dane zostały skradzione.

Zgodnie z notatką ofiara musi zapłacić okup, aby odzyskać dostęp do swoich plików i zapobiec wyciekowi zawartości. Chociaż dokładna kwota okupu nie jest określona, wyraźnie wspomniano, że płatność musi zostać dokonana w kryptowalutach Bitcoin lub Monero.

Ponadto notatka sugeruje, że pewna liczba plików może zostać wysłana do testowego odszyfrowania. Powinno to służyć jako dowód dla ofiary, że odzyskanie danych jest rzeczywiście możliwe.

Żądanie okupu EXISC oczekuje kontaktu za pośrednictwem Tox

Pełny tekst żądania okupu EXISC brzmi następująco:

Witaj, komputer Twojej firmy jest przeze mnie szyfrowany, a baza danych i dane są pobierane. Jeśli nie chcesz, abym ujawnił te materiały, musisz zapłacić mi okup. Po otrzymaniu okupu usunę wszystkie pobrane pliki i pomogę ci odszyfrować twój komputer, w przeciwnym razie ujawnimy te materiały, a twoja firma spotka się z bezprecedensowymi konsekwencjami.

Pracujemy tylko za pieniądze i nie niszczymy Twojej sieci i jesteśmy bardzo uczciwi. Po otrzymaniu okupu przekażemy Ci również informacje o lukach w zabezpieczeniach Twojego systemu, aby pomóc Ci naprawić luki i uniknąć ponownych ataków.

Jeśli wątpisz w naszą zdolność do odszyfrowania plików, możesz wysłać mi kilka zaszyfrowanych plików, a ja je odszyfruję, aby to udowodnić.

Proszę zapłacić okup w Bitcoin lub Monero.

Użyj TOX, aby się ze mną skontaktować lub wysłać mi e-mail.

E-mail: HonestEcoZ@dnmx.org

TOX ID:(ciąg znaków alfanumerycznych)
Pobieranie TOX: hxxps://tox.chat/download.html

Jakie są najczęstsze wektory infekcji ransomware, takiego jak EXISC?

Ransomware, takie jak EXISC, wykorzystuje różne wektory infekcji do infiltracji systemów i sieci. Oto niektóre z najczęstszych wektorów infekcji wykorzystywanych przez oprogramowanie ransomware:

• E-maile phishingowe: e-maile phishingowe pozostają powszechną metodą dystrybucji oprogramowania ransomware. Cyberprzestępcy tworzą przekonujące wiadomości e-mail, które wydają się uzasadnione, często podszywając się pod zaufane podmioty lub osoby. Te e-maile zawierają złośliwe załączniki lub osadzone linki, które po kliknięciu lub otwarciu inicjują proces infekcji ransomware.
• Złośliwe pliki do pobrania i załączniki: Oprogramowanie ransomware może zostać przypadkowo pobrane ze złośliwych stron internetowych lub za pośrednictwem zainfekowanych załączników. Może się to zdarzyć, gdy użytkownicy odwiedzają zainfekowane strony internetowe lub otwierają załączniki wiadomości e-mail zawierające pliki wykonywalne, makra lub ładunki oparte na skryptach.
• Zestawy exploitów: zestawy exploitów to złośliwe narzędzia, które wykorzystują luki w oprogramowaniu obecne w przeglądarkach internetowych, wtyczkach lub systemach operacyjnych. Wykorzystując te luki, oprogramowanie ransomware może zostać po cichu dostarczone do systemu ofiary, gdy odwiedza ona zaatakowaną witrynę lub klika złośliwą reklamę.
• Ataki Remote Desktop Protocol (RDP): Operatorzy ransomware często atakują systemy z odsłoniętymi lub słabo zabezpieczonymi połączeniami Remote Desktop Protocol. Używają technik brutalnej siły, aby uzyskać nieautoryzowany dostęp i zainstalować ransomware.
• Luki w oprogramowaniu: Ransomware może wykorzystywać luki w niezałatanym lub nieaktualnym oprogramowaniu do infiltracji systemów. Obejmuje to luki w systemach operacyjnych, aplikacjach lub usługach sieciowych, które umożliwiają oprogramowaniu ransomware uzyskanie nieautoryzowanego dostępu i wykonanie jego funkcji.
• Złośliwe reklamy: złośliwe reklamy lub złośliwe reklamy można znaleźć w legalnych witrynach internetowych lub sieciach reklamowych. Reklamy te zawierają ukryte skrypty, które przekierowują użytkowników do złośliwych stron internetowych zawierających ransomware lub uruchamiają automatyczne pobieranie ładunku ransomware.
• Pobieranie automatyczne: pobieranie automatyczne ma miejsce, gdy oprogramowanie ransomware jest automatycznie pobierane bez zgody lub interakcji użytkownika, zwykle z zainfekowanych witryn internetowych. Witryny te zawierają złośliwy kod, który wykorzystuje luki w zabezpieczeniach przeglądarki internetowej lub wtyczek użytkownika, umożliwiając ciche dostarczanie oprogramowania ransomware.