Rorschach Ransomware blokuje pliki ofiar

Ransomware o nazwie Rorschach lub BabLock jest wykorzystywane przez cyberprzestępców do szyfrowania plików, szczególnie atakując małe i średnie firmy, a także przedsiębiorstwa przemysłowe. Oprócz szyfrowania danych, to złośliwe oprogramowanie dodaje również losowy ciąg znaków i dwucyfrową liczbę na końcu nazw plików. Na przykład zmienia nazwę „1.jpg” na „1.jpg.slpqne.37”, „2.png” na „2.png.slpqne.39” itp. Dołączony ciąg losowych znaków może się różnić w zależności od odmiana oprogramowania ransomware.

Kiedy system zostaje zhakowany, ransomware Rorschach umieszcza żądanie okupu na pulpicie ("_r_e_a_d_m_e.txt") i zmienia tapetę pulpitu. Żądanie okupu wskazuje, że dane zostały zaszyfrowane, kopie zapasowe zostały usunięte, a poufne informacje zostały pobrane przez hakerów. Radzi również ofiarom, aby nie zgłaszały się na policję, FBI ani inne władze, dopóki okup nie zostanie zapłacony.

Ponadto żądanie okupu zniechęca ofiary do kontaktowania się z firmami zajmującymi się odzyskiwaniem danych, ponieważ są one postrzegane jako pośrednicy, którzy je oszukają. Notatka ostrzega ofiary, aby nie próbowały odszyfrowywać plików lub zmieniać rozszerzenia pliku, ponieważ doprowadzi to do trwałej utraty danych. Żądanie okupu zawiera adres e-mail, na który ofiary mogą kontaktować się z cyberprzestępcami i wysyłać kilka plików do testowego odszyfrowania.

Żądanie okupu kończy się groźbą, że jeśli okup nie zostanie zapłacony, cyberprzestępcy ponownie zaatakują firmę i usuną wszystkie dane ze swoich sieci.

Żądanie okupu od Rorschacha wskazuje jego operatorów na firmy docelowe

Pełny tekst żądania okupu od Rorschacha brzmi następująco:

Identyfikator odszyfrowywania: -

Cześć, skoro to czytasz, oznacza to, że zostałeś zhakowany.
Oprócz zaszyfrowania wszystkich Twoich systemów, usunięcia kopii zapasowych, pobraliśmy również Twoje poufne informacje.
Oto czego nie powinieneś robić:
1) Skontaktuj się z policją, fbi lub innymi organami przed zakończeniem naszej umowy.
2) Skontaktuj się z firmą windykacyjną, aby przeprowadziła z nami dialog. (Może to spowolnić odzyskiwanie i zniweczyć naszą komunikację). Nie idź do firm windykacyjnych, to w zasadzie tylko pośrednicy, którzy będą na tobie zarabiać i oszukiwać. Doskonale znamy przypadki, w których firmy windykacyjne mówią ci, że cena okupu wynosi 5 milionów dolarów, ale w rzeczywistości potajemnie negocjują z nas za 1 milion dolarów, więc zarabiają na tobie 4 miliony dolarów. Gdybyś skontaktował się z nami bezpośrednio, bez pośredników, zapłaciłbyś 5 razy mniej, czyli 1 milion dolarów.
3) Nie próbuj samodzielnie odszyfrowywać plików, a także nie zmieniaj samodzielnie rozszerzenia pliku !!! Może to prowadzić do niemożności ich odszyfrowania.

Oto, co powinieneś zrobić zaraz po przeczytaniu:
1) Jeśli jesteś zwykłym pracownikiem, wyślij naszą wiadomość do prezesa firmy, a także do działu IT.
2) Jeśli jesteś prezesem, specjalistą w dziale IT lub inną osobą mającą znaczenie w firmie, powinieneś skontaktować się z nami w ciągu 24 godzin drogą mailową.

Jeśli nie zapłacisz okupu, w przyszłości ponownie zaatakujemy Twoją firmę. Za kilka tygodni po prostu powtórzymy nasz atak i usuniemy wszystkie Twoje dane z Twoich sieci, CO DOPROWADZI DO ICH NIEDOSTĘPNOŚCI!

Jako gwarancję, że możemy odszyfrować pliki, sugerujemy przesłanie kilku plików do bezpłatnego odszyfrowania.
Maile, aby się z nami skontaktować (wpisz identyfikator odszyfrowywania w tytule wiadomości):
1) wvpater@onionmail.org
2) wvpater1@onionmail.org

W jaki sposób zazwyczaj dystrybuowane jest oprogramowanie ransomware, takie jak Rorschach?

Ransomware, takie jak Rorschach, jest zwykle dystrybuowane za pośrednictwem wiadomości e-mail phishingowych, złośliwych załączników lub łączy do zainfekowanych stron internetowych. Atakujący mogą wykorzystywać taktyki socjotechniczne, aby skłonić ofiary do pobrania i uruchomienia złośliwego oprogramowania, na przykład ukrywając oprogramowanie ransomware jako legalną aktualizację oprogramowania lub oferując kuszącą zachętę w zamian za kliknięcie łącza.

W niektórych przypadkach osoby atakujące mogą również wykorzystywać luki w nieaktualnym oprogramowaniu, aby uzyskać dostęp do systemu ofiary i zainstalować ransomware. Ważne jest, aby aktualizować system operacyjny i całe oprogramowanie, używać oprogramowania antywirusowego i uważać na podejrzane wiadomości e-mail i strony internetowe, aby zmniejszyć ryzyko infekcji ransomware.