Gyew Ransomware opiera się na kodzie Djvu

Nasze badanie niedawno odkrytych próbek złośliwego oprogramowania ujawniło wariant ransomware Gyew. Ponadto stwierdzono, że Gyew jest powiązany z rodziną szkodliwego oprogramowania Djvu. Ten konkretny wariant oprogramowania ransomware polega na szyfrowaniu plików, dodawaniu do ich nazw rozszerzenia „.gyew” i pozostawianiu w systemie, którego dotyczy problem, notatki z żądaniem okupu o nazwie „_readme.txt”.

Przykładowo, Gyew zmienia nazwy plików, przekształcając „1.jpg” w „1.jpg.gyew”, „2.png” w „2.png.gyew” i tak dalej. W żądaniu okupu stwierdza się, że liczne pliki, w tym obrazy, bazy danych i najważniejsze dokumenty, zostały zaszyfrowane. Aby przywrócić dostęp do tych plików, ofiary proszone są o uzyskanie narzędzia deszyfrującego i unikalnego klucza. Notatka zapewnia ofiarom możliwość przesłania jednego zaszyfrowanego pliku do bezpłatnego odszyfrowania, pod warunkiem, że w pliku brakuje cennych informacji.

Koszt uzyskania klucza prywatnego i oprogramowania deszyfrującego wynosi 980 dolarów. Istnieje jednak możliwość skorzystania z 50% zniżki, jeśli ofiary skontaktują się z napastnikami w ciągu pierwszych 72 godzin, co skutecznie obniża koszt do 490 dolarów. Ofiary mogą nawiązać komunikację z cyberprzestępcami za pośrednictwem podanych adresów e-mail: support@freshmail.top i datarestorehelp@airmail.cc.

Gyew żąda okupu w wysokości 490 dolarów

Pełny tekst żądania okupu Gyew brzmi następująco:

ATTENTION!

Don't worry, you can return all your files!
All your files like pictures, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
You can get and look video overview decrypt tool:
hxxps://we.tl/t-CDZ4hMgp2X
Price of private key and decrypt software is $980.
Discount 50% available if you contact us first 72 hours, that's price for you is $490.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.

To get this software you need write on our e-mail:
support@freshmail.top

Reserve e-mail address to contact us:
datarestorehelp@airmail.cc

Your personal ID:

W jaki sposób oprogramowanie ransomware jest zwykle dystrybuowane w Internecie?

Oprogramowanie ransomware jest zazwyczaj dystrybuowane w Internecie różnymi metodami, a napastnicy często wykorzystują wiele technik, aby zwiększyć prawdopodobieństwo powodzenia. Oto typowe sposoby dystrybucji oprogramowania ransomware:

E-maile phishingowe:
Jedną z najpopularniejszych metod są wiadomości e-mail phishingowe. Atakujący wysyłają e-maile zawierające złośliwe załączniki lub łącza, które po kliknięciu pobierają i uruchamiają oprogramowanie ransomware w systemie ofiary.

Złośliwe załączniki do wiadomości e-mail:
Ransomware może być ukryte w załącznikach do wiadomości e-mail, takich jak pliki wykonywalne, pliki PDF lub dokumenty pakietu Office. Po otwarciu załącznika następuje uwolnienie oprogramowania ransomware.

Zainfekowane strony internetowe:
Odwiedzanie zainfekowanych lub złośliwych witryn internetowych może prowadzić do automatycznego pobrania i instalacji oprogramowania ransomware. Często dzieje się tak poprzez zestawy exploitów, które wykorzystują luki w przeglądarce użytkownika lub wtyczkach.

Złośliwe reklamy:
Złośliwe reklamy na legalnych stronach internetowych mogą przekierowywać użytkowników do witryn zawierających oprogramowanie ransomware. Kliknięcie tych reklam może spowodować pobranie i instalację oprogramowania ransomware.

Pobieranie na miejscu:
Oprogramowanie ransomware może być dostarczane poprzez pobieranie typu drive-by, podczas którego złośliwe oprogramowanie jest automatycznie pobierane i instalowane na urządzeniu użytkownika bez jego wiedzy i zgody, gdy odwiedza on zaatakowaną witrynę internetową.