Hgjzitlxe Ransomware atakuje firmy

Podczas naszej analizy próbek złośliwego oprogramowania wykryliśmy Hgjzitlxe, rodzaj oprogramowania ransomware powiązanego z rodziną Snatch. Nasze dochodzenie ujawniło, że Hgjzitlxe szyfruje pliki i dodaje własne rozszerzenie (.hgjzitlxe) do oryginalnych nazw plików. Aby jeszcze bardziej zastraszyć ofiary, tworzy żądanie okupu o nazwie „JAK PRZYWRÓCIĆ PLIKI HGJZITLXE.TXT”.

Jako przykład zachowania modyfikacji plików, Hgjzitlxe zastępuje "1.jpg" przez "1.jpg.hgjzitlxe", a "2.png" przez "2.png.hgjzitlxe" i tak dalej.

Żądanie okupu informuje ofiary, że ich sieć przeszła test penetracyjny, który doprowadził do zaszyfrowania ich plików. Atakujący twierdzą, że pobrali ponad 100 GB danych, w tym dane osobowe, dane marketingowe, poufne dokumenty, zapisy księgowe, bazy danych SQL i kopie archiwów e-mail.

Ofiary są zdecydowanie zniechęcane do prób samodzielnego odszyfrowania plików lub korzystania z narzędzi innych firm, ponieważ notatka podkreśla, że tylko ich określony deszyfrator może skutecznie przywrócić pliki. Aby zapobiec potencjalnemu oszukaniu przez pośredników, notatka zaleca bezpośrednią komunikację z podmiotami odpowiedzialnymi za zagrożenie.

Aby zebrać dowody, zbadać potencjalne rozwiązania i poprosić o deszyfrator, ofiary są proszone o skontaktowanie się z cyberprzestępcami za pośrednictwem podanych adresów e-mail: candice.wood@post.cz lub candice.wood@swisscows.email. Sugerowana jest alternatywna metoda komunikacji za pośrednictwem czatu Tox.

Żądanie okupu kończy się ostrzeżeniem, że jeśli w ciągu trzech dni nie zostanie udzielona żadna odpowiedź, cyberprzestępcy upublicznią zaszyfrowane pliki.

Hgjzitlxe Żądanie okupu wskazuje firmy będące celem ataków hakerów

Pełny tekst żądania okupu brzmi następująco:

CAŁA SIEĆ JEST SZYFROWANA TWOJA FIRMA STRACI PIENIĄDZE!

Drogi Zarządzie! Informujemy, że Twoja sieć przeszła test penetracyjny, podczas którego zaszyfrowaliśmy
swoje pliki i pobrał ponad 100 GB danych

Dane osobiste
Dane marketingowe
Dokumenty poufne
Rachunkowość
Bazy danych SQL
Kopie niektórych skrzynek pocztowych

Ważny! Nie próbuj odszyfrowywać plików samodzielnie ani za pomocą narzędzi innych firm.
Jedynym programem, który może je odszyfrować, jest nasz deszyfrator, o który możesz poprosić, korzystając z poniższych kontaktów.
Każdy inny program uszkodzi pliki tylko w taki sposób, że nie będzie można ich przywrócić.
Napisz do nas bezpośrednio, bez uciekania się do pośredników, oszukają Cię.

Możesz zdobyć wszystkie niezbędne dowody, przedyskutować z nami możliwe rozwiązania tego problemu i poprosić o deszyfrator
korzystając z poniższych kontaktów.
Informujemy, że jeśli nie otrzymamy od Państwa odpowiedzi w ciągu 3 dni, zastrzegamy sobie prawo do upublicznienia plików.

Skontaktuj się z nami:
candice.wood@post.cz lub candice.wood@swisscows.email

Dodatkowe sposoby komunikacji na czacie tox
identyfikator toksyny:
(ciąg znaków alfanumerycznych)

W jaki sposób ransomware, takie jak Hgjzitlxe, może przeniknąć do twojego systemu?

Ransomware, takie jak Hgjzitlxe, może przeniknąć do twojego systemu różnymi metodami. Oto kilka typowych sposobów, w jakie ransomware może przedostać się do twojego systemu:

• E-maile phishingowe: Jedną z najbardziej rozpowszechnionych metod są e-maile phishingowe. Możesz otrzymać wiadomość e-mail, która wydaje się być wiarygodna, ale zawiera złośliwy załącznik lub łącze, które po kliknięciu pobiera ransomware do twojego systemu.
• Złośliwe pobieranie: oprogramowanie ransomware można również pobrać nieświadomie podczas odwiedzania zainfekowanych witryn internetowych lub klikania złośliwych reklam. Te pliki do pobrania mogą być zamaskowane jako legalne oprogramowanie lub pliki, co nakłania cię do ich uruchomienia i zainfekowania systemu.
• Wykorzystywanie luk w zabezpieczeniach: oprogramowanie ransomware może wykorzystywać luki w systemie operacyjnym, oprogramowaniu lub aplikacjach. Cyberprzestępcy aktywnie wyszukują luki w zabezpieczeniach, które mogą wykorzystać do uzyskania nieautoryzowanego dostępu i wdrożenia oprogramowania wymuszającego okup w systemie.
• Złośliwe strony internetowe i złośliwe reklamy: Odwiedzanie zainfekowanych lub złośliwych stron internetowych może prowadzić do automatycznego pobrania i zainstalowania oprogramowania ransomware bez Twojej wiedzy. Podobnie złośliwe reklamy (złośliwe reklamy) mogą dostarczać ransomware poprzez osadzenie go w reklamach online.
• Ataki Remote Desktop Protocol (RDP): Jeśli masz włączony i źle skonfigurowany protokół Remote Desktop Protocol, osoby atakujące mogą wykorzystać słabe lub domyślne dane uwierzytelniające, aby uzyskać zdalny dostęp do systemu i wdrożyć oprogramowanie ransomware.
• Automatyczne pobieranie: oprogramowanie ransomware można po cichu pobrać i zainstalować, gdy odwiedzasz zainfekowane strony internetowe, do których wstrzyknięto złośliwy kod. Dzieje się to bez jakiejkolwiek interakcji lub wiedzy użytkownika.
• Wykorzystując luki w zabezpieczeniach sieci: oprogramowanie ransomware może rozprzestrzeniać się w sieci, wykorzystując luki w protokołach sieciowych lub niezałatanych systemach. Po wejściu do sieci może szybko rozprzestrzeniać się i infekować inne urządzenia.