Zainfekowane oprogramowanie ransomware (MedusaLocker) zablokuje systemy ofiar

Analizując nowe próbki złośliwego oprogramowania, badacze natknęli się na odmianę oprogramowania ransomware z rodziny MedusaLocker, którą nazwali „Infected”. To ransomware działa poprzez szyfrowanie plików i dodawanie do ich nazw rozszerzenia „.infected”. Dodatkowo pozostawia notatkę z żądaniem okupu zatytułowaną „HOW_TO_BACK_FILES.html”.

Aby zilustrować, w jaki sposób Infected zmienia nazwy plików podczas ich szyfrowania, na przykład „1.jpg” staje się „1.jpg.infected”, a „2.png” jest przekształcane na „2.png.infected”.

Notatka z żądaniem okupu informuje, że najważniejsze pliki ofiary zostały zaszyfrowane. Podkreśla, że pliki te, choć zablokowane, pozostają bezpieczne, ale zostały zaszyfrowane przy użyciu kombinacji metod RSA i AES. Notatka wyraźnie ostrzega przed wszelkimi próbami odzyskania tych plików przy użyciu oprogramowania firm trzecich, ponieważ takie próby mogłyby doprowadzić do trwałego uszkodzenia. Odradza także modyfikowanie lub zmienianie nazw zaszyfrowanych plików.

W notatce stwierdza się, że tylko operatorzy oprogramowania ransomware mogą rozwiązać problem, stwierdzając, że żadne oprogramowanie stron trzecich nie może pomóc w tej sprawie. Ponadto wspomina o gromadzeniu wysoce poufnych lub osobowych danych, które są przechowywane na prywatnym serwerze. Jeśli ofiara zdecyduje się nie płacić okupu, dane te zostaną upublicznione lub sprzedane sprzedawcy, dzięki czemu staną się publicznie dostępne.

Notatka zawiera dane kontaktowe umożliwiające kontakt z operatorami, w tym adres URL oparty na Torze do komunikacji. Zawiera instrukcje dotyczące uzyskiwania dostępu do sieci Tor i prowadzenia z nimi czatu. Dodatkowo udostępnia adresy e-mail (ithelp02@securitymy.name i ithelp02@yousheltered.com) do komunikacji.

Kwota okupu może wzrosnąć, jeśli ofiara nie nawiąże kontaktu z operatorami w ciągu 72 godzin, co dodaje sytuacji szczególnego aspektu czasowego.

Zainfekowani grożą zwiększeniem okupu w ciągu trzech dni

Pełny tekst żądania okupu od zainfekowanego brzmi następująco:

TWÓJ IDENTYFIKATOR OSOBISTY:

SIEĆ TWOJEJ FIRMY ZOSTAŁA PENETROWANA
Wszystkie Twoje ważne pliki zostały zaszyfrowane!

Twoje pliki są bezpieczne! Tylko zmodyfikowane. (RSA+AES)

JAKIEKOLWIEK PRÓBA PRZYWRACANIA PLIKÓW ZA POMOCĄ OPROGRAMOWANIA STRON TRZECICH
ZNISZCZY TO TRWALE.
NIE MODYFIKUJ ZASZYFROWANYCH PLIKÓW.
NIE ZMIENIAJ NAZW ZASZYFROWANYCH PLIKÓW.

Żadne oprogramowanie dostępne w Internecie nie może Ci pomóc. Tylko my możemy to zrobić
rozwiązać swój problem.

Zebraliśmy dane wysoce poufne/osobowe. Dane te są obecnie przechowywane na
prywatny serwer. Serwer ten zostanie natychmiast zniszczony po dokonaniu płatności.
Jeśli zdecydujesz się nie płacić, udostępnimy Twoje dane społeczeństwu lub sprzedawcy.
Możesz więc spodziewać się, że Twoje dane będą w najbliższej przyszłości publicznie dostępne.

Szukamy tylko pieniędzy i naszym celem nie jest niszczenie Twojej reputacji ani zapobieganie
od prowadzenia Twojej firmy.

Możesz przesłać nam 2-3 nieistotne pliki, a my je odszyfrujemy za darmo
aby udowodnić, że jesteśmy w stanie zwrócić Twoje pliki.

Skontaktuj się z nami, aby uzyskać cenę i uzyskać oprogramowanie deszyfrujące.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
Pamiętaj, że ten serwer jest dostępny tylko poprzez przeglądarkę Tor

Postępuj zgodnie z instrukcjami, aby otworzyć link:

1. Wpisz adres „hxxps://www.torproject.org” w swojej przeglądarce internetowej. Otwiera stronę Tor.
2. Naciśnij „Pobierz Tor”, następnie naciśnij „Pobierz pakiet przeglądarki Tor”, zainstaluj i uruchom.
3. Teraz masz przeglądarkę Tor. W przeglądarce Tor otwórz qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
4. Rozpocznij czat i postępuj zgodnie z dalszymi instrukcjami.
   Jeśli nie możesz skorzystać z powyższego linku, skorzystaj z adresu e-mail:
   ithelp02@securitymy.name
   ithelp02@yousheltered.com

Aby się z nami skontaktować, utwórz nowe bezpłatne konto e-mail na stronie: protonmail.com
JEŻELI NIE SKONTAKTUJESZ SIĘ Z NAMI W CIĄGU 72 GODZIN, CENA BĘDZIE WYŻSZA.

W jaki sposób zainfekowane oprogramowanie ransomware może dostać się do Twojego systemu?

Ransomware, takie jak Infected, może przeniknąć do Twojego systemu na różne sposoby. Oto kilka typowych sposobów, w jakie oprogramowanie ransomware może przedostać się na Twój komputer:

• E-maile phishingowe: E-maile phishingowe to jedna z najpopularniejszych metod dostarczania oprogramowania ransomware. Cyberprzestępcy wysyłają zwodnicze e-maile, które wydają się pochodzić z legalnego źródła, ale zawierają złośliwe załączniki lub łącza. Gdy otworzysz załącznik lub klikniesz łącze, oprogramowanie ransomware może pobrać i uruchomić w Twoim systemie.
• Złośliwe witryny internetowe: odwiedzanie złośliwych lub zagrożonych witryn internetowych może również prowadzić do infekcji oprogramowaniem ransomware. Strony te mogą wykorzystywać luki w zabezpieczeniach przeglądarki internetowej lub wtyczek w celu pobierania i instalowania oprogramowania ransomware bez Twojej wiedzy i zgody.
• Pobieranie dyskowe: oprogramowanie ransomware może być dostarczane poprzez „pobieranie dyskowe”, podczas którego złośliwe oprogramowanie jest automatycznie pobierane i instalowane w systemie podczas odwiedzania zainfekowanej lub złośliwej witryny internetowej. Zwykle dzieje się to bez interakcji użytkownika.
• Złośliwe reklamy: Cyberprzestępcy mogą wykorzystywać złośliwe reklamy (złośliwe reklamy) w legalnych witrynach internetowych w celu dystrybucji oprogramowania ransomware. Kliknięcie tych reklam może spowodować pobranie i instalację oprogramowania ransomware.
• Luki w oprogramowaniu: Nieaktualne lub niezałatane oprogramowanie może zostać wykorzystane przez oprogramowanie ransomware. Jeśli Twój system operacyjny lub aplikacje mają znane luki w zabezpieczeniach, które nie zostały załatane, osoby atakujące mogą je wykorzystać, aby uzyskać dostęp do Twojego systemu i wdrożyć oprogramowanie ransomware.
• Niezaufane pobieranie: Pobieranie oprogramowania, plików lub torrentów z niezaufanych lub nieoficjalnych źródeł może być ryzykowne. Niektóre pliki do pobrania mogą być powiązane z oprogramowaniem ransomware lub innym złośliwym oprogramowaniem, dlatego ważne jest, aby pobierać je wyłącznie z renomowanych źródeł.
• Dyski USB i urządzenia zewnętrzne: oprogramowanie ransomware może rozprzestrzeniać się poprzez zainfekowane dyski USB lub urządzenia zewnętrzne. Jeśli podłączysz do komputera urządzenie zawierające oprogramowanie ransomware, może ono szybko zainfekować Twój system.