Mango Ransomware opiera się na Phobosie

Ransomware Mango, szkodliwy program zidentyfikowany przez naszych badaczy, należy do rodziny ransomware Phobos. Mango działa w oparciu o szyfrowanie plików i żądanie zapłaty za ich odszyfrowanie.

Po uruchomieniu próbki tego oprogramowania ransomware na naszej maszynie testowej przystąpiło ono do szyfrowania plików i modyfikowania ich nazw. Oryginalne tytuły plików zostały uzupełnione o unikalny identyfikator przypisany ofierze, adres e-mail cyberprzestępcy i rozszerzenie „.mango”. Na przykład plik o nazwie „1.jpg” został przekształcony w „1.jpg.id[9ECFA84E-3316].[duckjahana@onionmail.com].mango”.

Po zakończeniu procesu szyfrowania wygenerowano dwa żądania okupu. Jeden był prezentowany w wyskakującym oknie zatytułowanym „info.hta”, a drugi był plikiem tekstowym o nazwie „info.txt” przechowywanym na pulpicie i we wszystkich zaszyfrowanych katalogach.

Komunikat w pliku tekstowym informuje, że pliki są teraz niedostępne, ponieważ zostały zaszyfrowane, i nawołuje ofiarę do skontaktowania się z atakującymi w celu odszyfrowania danych.

Wyskakujące okienko zawiera dalsze szczegóły dotyczące infekcji ransomware, precyzując, że odzyskanie plików wiąże się z koniecznością zapłacenia okupu. Kwota jest rzekomo uzależniona od tego, jak szybko ofiara skontaktuje się z cyberprzestępcami, a płatność ma zostać dokonana w kryptowalutie Bitcoin.

Przed spełnieniem żądań okupu ofiara ma możliwość przetestowania procesu deszyfrowania trzech plików, których dotyczy problem, pod pewnymi warunkami. Ofiara jest wyraźnie ostrzegana przed modyfikowaniem zablokowanych plików, używaniem narzędzi deszyfrujących innych firm lub zwracaniem się o pomoc do stron trzecich.

Mango z żądaniem okupu kopiuje układ Fobosa

Pełny tekst żądania okupu od Mango brzmi następująco:

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail: duckjahana@onionmail.com
Write this ID in the title of your message -
Or text in the messenger Telegram: @santasupp
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

Jak zdobyć Bitcoiny
Najłatwiejszym sposobem zakupu bitcoinów jest strona LocalBitcoins. Musisz się zarejestrować, kliknąć „Kup bitcoiny” i wybrać sprzedawcę według metody płatności i ceny.
hxxps://localbitcoins.com/buy_bitcoins
Możesz także znaleźć inne miejsca do zakupu Bitcoinów i przewodnik dla początkujących tutaj:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Uwaga!
Nie zmieniaj nazw zaszyfrowanych plików.
Nie próbuj odszyfrowywać swoich danych za pomocą oprogramowania stron trzecich, może to spowodować trwałą utratę danych.
Odszyfrowanie Twoich plików przy pomocy osób trzecich może spowodować wzrost ceny (doliczają one swoją opłatę do naszej) lub możesz stać się ofiarą oszustwa.

Jak najlepiej chronić swoje dane przed oprogramowaniem ransomware?

Ochrona danych przed oprogramowaniem ransomware wymaga wdrożenia kombinacji środków zapobiegawczych i praktyk proaktywnych. Oto kilka skutecznych strategii ochrony danych przed atakami oprogramowania ransomware:

Regularne kopie zapasowe:
Wykonuj regularne i automatyczne kopie zapasowe ważnych danych. Upewnij się, że kopie zapasowe są przechowywane w lokalizacji, która nie jest bezpośrednio dostępna z głównej sieci, aby zapobiec wpływowi oprogramowania ransomware.

Kopie zapasowe offline:
Oprócz kopii zapasowych online twórz kopie zapasowe w trybie offline. Może to obejmować zewnętrzne dyski twarde lub pamięć masową w chmurze offline. Ponieważ oprogramowanie ransomware zazwyczaj atakuje pamięć podłączoną i dostępną przez sieć, kopie zapasowe offline są mniej podatne na ataki.

Regularnie aktualizuj oprogramowanie:
Upewnij się, że Twój system operacyjny, oprogramowanie antywirusowe i wszystkie aplikacje są aktualne i zawierają najnowsze poprawki zabezpieczeń. Regularne aktualizacje pomagają chronić przed znanymi lukami w zabezpieczeniach, które może wykorzystać oprogramowanie ransomware.

Szkolenie pracowników:
Zapewnij pracownikom szkolenia z zakresu cyberbezpieczeństwa, aby mogli rozpoznawać wiadomości e-mail phishingowe, złośliwe załączniki i inne taktyki socjotechniki stosowane przez osoby atakujące. Świadomość może zapobiec przypadkowemu zainicjowaniu infekcji ransomware przez użytkowników.

Użyj solidnego oprogramowania zabezpieczającego:
Zainstaluj renomowane oprogramowanie antywirusowe i chroniące przed złośliwym oprogramowaniem na wszystkich urządzeniach. Aktualizuj te programy, aby mieć pewność, że będą w stanie wykryć i złagodzić nowe zagrożenia, w tym ewoluujące warianty oprogramowania ransomware.

Segmentacja sieci:
Wprowadź segmentację sieci, aby ograniczyć boczny ruch złośliwego oprogramowania w sieci. Pomaga to powstrzymać skutki potencjalnej infekcji ransomware i zapobiega jej rozprzestrzenianiu się na krytyczne systemy.