HUNTER Ransomware criptografa o conteúdo do sistema
Durante nosso exame de amostras de malware, descobrimos o HUNTER, uma variante de ransomware pertencente à família Phobos. Este malware criptografa arquivos, modifica seus nomes e apresenta duas notas de resgate denominadas "info.txt" e "info.hta". Além disso, o ransomware HUNTER anexa o ID da vítima, um endereço de e-mail e a extensão ".HUNTER" aos nomes dos ficheiros.
Por exemplo, ele transforma "1.jpg" em "1.jpg.id[9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER" e "2.png" em "2.png.id[ 9ECFA84E-3335].[Hunter-X@tuta.io].HUNTER," e assim por diante. A nota de resgate informa à vítima sobre a criptografia de seus arquivos devido a um problema de segurança em seu PC. Ele fornece um endereço de e-mail (hunter-x@tuta.io) para comunicação com os invasores e aconselha a inclusão de um ID específico na linha de assunto do e-mail. Na ausência de resposta em até 24 horas, a vítima é direcionada a entrar em contato com os agressores por meio de uma conta do Telegram (@Online7_365).
A nota exige pagamento em Bitcoins pela descriptografia, com o valor variando de acordo com a rapidez com que a vítima entra em contato com os invasores. Como garantia, oferece a desencriptação gratuita de até três ficheiros, desde que tenham menos de 4 MB e não possuam informações valiosas.
Além disso, a vítima é alertada contra renomear arquivos criptografados ou tentar descriptografá-los usando software de terceiros para evitar a perda permanente de dados ou ser vítima de fraudes.
Nota de resgate completa do HUNTER
O texto completo da nota de resgate gerada pelo HUNTER na janela pop-up e no arquivo info.hta é o seguinte:
All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail Hunter-X@tuta.io
Write this ID in the title of your message -
If you do not receive a response within 24 hours, please contact us by Telegram.org account: @Online7_365
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
Como um ransomware semelhante ao HUNTER pode infectar seu sistema?
Ransomware semelhante ao HUNTER pode infectar seu sistema através de vários métodos, incluindo:
E-mails de phishing: um método comum é por meio de e-mails de phishing contendo anexos ou links maliciosos. Esses e-mails podem parecer legítimos e muitas vezes empregam táticas de engenharia social para induzir os usuários a abrir anexos ou clicar em links, que então baixam e executam o ransomware no sistema.
Sites maliciosos: visitar sites comprometidos ou maliciosos também pode levar a infecções por ransomware. Esses sites podem explorar vulnerabilidades em navegadores ou plug-ins para baixar e instalar silenciosamente ransomware no sistema da vítima, sem seu conhecimento ou consentimento.
Explorando vulnerabilidades de software: O ransomware pode explorar vulnerabilidades em software, como sistemas operacionais, navegadores da web ou plug-ins, para obter acesso não autorizado a um sistema. Os invasores podem explorar vulnerabilidades conhecidas para as quais patches ou atualizações não foram aplicadas, permitindo que o ransomware se infiltre no sistema.
Ataques de Protocolo de Área de Trabalho Remota (RDP): Os invasores de ransomware podem ter como alvo sistemas com conexões de Protocolo de Área de Trabalho Remota (RDP) expostas ou fracamente seguras. Eles podem usar ataques de força bruta ou obter credenciais roubadas para obter acesso não autorizado ao sistema e implantar ransomware.
Downloads maliciosos: os usuários podem baixar ransomware inadvertidamente clicando em anúncios maliciosos, baixando software ou conteúdo pirata de fontes não confiáveis ou instalando atualizações de software ou aplicativos falsos de sites duvidosos.
Malvertising: Anúncios maliciosos, ou malvertising, podem redirecionar os usuários para sites que hospedam kits de exploração que fornecem cargas úteis de ransomware. Esses anúncios podem aparecer em sites legítimos e infectar os sistemas dos usuários sem sua interação ou conhecimento.
Downloads drive-by: O ransomware também pode ser entregue por meio de downloads drive-by, onde o malware é baixado e executado automaticamente quando um usuário visita um site comprometido ou interage com conteúdo malicioso incorporado em páginas da web.
