Ransomware Xrp szyfruje dyski ofiar

Badając nowe próbki złośliwego oprogramowania, natknęliśmy się na wariant ransomware znany jako Xrp, powiązany z rodziną GlobeImposter. Głównym celem Xrp jest szyfrowanie plików poprzez dodawanie adresu e-mail i rozszerzenia „.xrp” do nazw plików. Dodatkowo zawiera notatkę z żądaniem okupu („Read_For_Restore_File.html”).

Na przykład Xrp zmienia nazwy plików takie jak „1.jpg” na „1.jpg.[a.wyper@bejants.com].xrp” i „2.png” na „2.png.[a.wyper@bejants. com].xrp” i tak dalej.

Żądanie okupu informuje ofiary, że ich pliki zostały zaszyfrowane przy użyciu solidnego algorytmu RSA-2048. Twierdzi, że przywrócenie plików jest niemożliwe bez tajnego klucza posiadanego przez atakujących.

Aby odzyskać swoje dane, ofiary proszone są o utworzenie konta e-mail na stronie protonmail.com lubcock.li. Uwaga ostrzega przed używaniem standardowego adresu e-mail, gdyż może on zostać zablokowany. Następnie ofiary proszone są o wysłanie wiadomości e-mail z nowo utworzonego adresu na adres a.wyper@bejants.com, zawierającej dowód tożsamości.

Napastnicy zobowiązują się odpowiedzieć dalszymi instrukcjami dotyczącymi odszyfrowania plików. Jeżeli w ciągu 48 godzin nie otrzymamy odpowiedzi, zostanie podany alternatywny adres e-mail: a.wyper@worldtravelnotebook.com.

List z żądaniem okupu Xrp nakazuje ofiarom utworzenie nowego adresu e-mail

Pełny tekst żądania okupu Xrp brzmi następująco:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Twój dowód osobisty:

PS
W Twoim interesie leży jak najszybsza odpowiedź, aby zapewnić odzyskanie Twoich plików, ponieważ nie będziemy przechowywać Twoich kluczy deszyfrujących na naszym serwerze przez długi czas.
Czekając na wiadomość od nas, sprawdź folder „Spam”.
Jeśli nie odpowiemy na Twoją wiadomość przez ponad 48 godzin, napisz na zapasowy adres e-mail: a.wyper@worldtravelnotebook.com

P: Nie otrzymałeś odpowiedzi?
Odp.: Sprawdź folder SPAM.
P: Mój folder spamu jest pusty. Co mam zrobić?
Odp.: Zarejestruj skrzynkę e-mail na protonmail.com lubcock.li i wykonaj powyższe kroki.

W jaki sposób oprogramowanie ransomware może zainfekować Twój system?

Oprogramowanie ransomware może zainfekować system na różne sposoby, a napastnicy często wykorzystują wyrafinowane techniki w celu wykorzystania luk w zabezpieczeniach. Oto typowe metody, za pomocą których oprogramowanie ransomware może zainfekować Twój system:

E-maile phishingowe: Jedną z najpowszechniejszych metod są e-maile phishingowe. Atakujący wysyłają e-maile zawierające złośliwe załączniki lub łącza. Gdy użytkownik otworzy załącznik lub kliknie łącze, oprogramowanie ransomware zostaje pobrane i uruchomione w systemie.

Złośliwe witryny internetowe: odwiedzanie zainfekowanych lub złośliwych witryn internetowych może narazić system na oprogramowanie ransomware. Może wystąpić pobieranie typu drive-by, podczas którego złośliwe oprogramowanie jest automatycznie pobierane i instalowane bez wiedzy i zgody użytkownika.

Złośliwe reklamy: osoby atakujące wykorzystują złośliwe reklamy (złośliwe reklamy) do dystrybucji oprogramowania ransomware. Legalne witryny internetowe mogą nieświadomie wyświetlać złośliwe reklamy, a kliknięcie tych reklam może prowadzić do pobrania oprogramowania ransomware.

Wykorzystywanie luk w oprogramowaniu: Ransomware może wykorzystywać luki w zabezpieczeniach systemów operacyjnych, oprogramowania lub aplikacji. Jeśli Twój system nie jest regularnie aktualizowany za pomocą poprawek zabezpieczeń, staje się bardziej podatny na tego typu ataki.

Ataki na protokół Remote Desktop Protocol (RDP): Cyberprzestępcy mogą próbować uzyskać nieautoryzowany dostęp do systemu za pośrednictwem słabo zabezpieczonych połączeń protokołu Remote Desktop Protocol. Po wejściu do środka mogą wdrożyć oprogramowanie ransomware.

Inżynieria społeczna: osoby atakujące mogą wykorzystywać techniki inżynierii społecznej, aby nakłonić użytkowników do uruchomienia złośliwych skryptów lub pobrania zainfekowanych plików. Może to obejmować oszukiwanie użytkowników w celu przyznania im niepotrzebnych uprawnień lub uruchomienia pozornie nieszkodliwych aplikacji.

Ataki Watering Hole: W tego typu atakach cyberprzestępcy atakują witryny często odwiedzane przez docelową grupę odbiorców. Gdy użytkownicy odwiedzają te witryny, nieświadomie pobierają złośliwe oprogramowanie, w tym oprogramowanie ransomware.

Zainfekowane instalatory oprogramowania: złośliwe instalatory oprogramowania, często podszywające się pod legalne aplikacje lub aktualizacje, po uruchomieniu mogą dostarczać oprogramowanie ransomware.