Pres Ransomware: Uma Ameaça Perigosa da Família Dharma

Compreendendo o Pres Ransomware

O ransomware Pres é uma adição ameaçadora à família de ransomware Dharma . Assim como seus antecessores, o Pres criptografa os arquivos das vítimas e exige um resgate em troca da recuperação. O que torna essa variante particularmente identificável é a maneira como ela renomeia os arquivos criptografados. Ela anexa o ID exclusivo da vítima, um endereço de e-mail de contato e a extensão ".pres" a cada nome de arquivo. Por exemplo, um arquivo originalmente chamado "document.pdf" apareceria como "document.pdf.id-9ECFA84E.[helpreserve@onionmail.org].pres" após a criptografia.

Além de criptografar os arquivos, o Pres exibe uma nota de resgate pop-up e insere um arquivo de texto chamado "info.txt" nos diretórios infectados. A mensagem informa às vítimas que seus arquivos foram criptografados e fornece instruções para entrar em contato com os invasores por e-mail. As vítimas devem enviar seu ID exclusivo para um dos dois endereços de e-mail: helpreserve@onionmail.org ou helpreserve@cyberfear.com.

O que os atacantes querem

A nota de resgate tenta parecer útil e até tranquilizadora. Afirma que os arquivos da vítima podem ser recuperados e oferece a descriptografia gratuita de até três arquivos pequenos e não confidenciais como prova. No entanto, esses arquivos de amostra não devem exceder 3 MB no total e não podem incluir backups, bancos de dados ou planilhas grandes. A nota também alerta que renomear arquivos ou usar ferramentas de recuperação de terceiros pode causar danos irreversíveis.

Em uma tática clássica de manipulação psicológica, os invasores desaconselham o envolvimento de terceiros, alegando que isso poderia aumentar o custo do resgate. Isso visa isolar a vítima e aumentar sua confiança nas promessas dos invasores — apesar do alto risco de não receber nenhuma ferramenta de descriptografia após o pagamento.

Veja o que diz a nota de resgate:

All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: helpreserve@onionmail.org YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:helpreserve@cyberfear.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Como funcionam o Pres e outros programas de ransomware

Ransomwares como o Pres são projetados para manter os dados dos usuários reféns, criptografando-os com algoritmos robustos. Uma vez criptografados, os arquivos se tornam inutilizáveis, a menos que sejam descriptografados com uma chave única, que somente os invasores possuem. As vítimas geralmente são forçadas a uma escolha difícil: pagar o resgate e esperar que os invasores cumpram sua palavra ou tentar recuperá-los por outros meios.

O ransomware Pres não se limita a criptografar arquivos. Ele também exclui Cópias de Sombra de Volume (usadas pelo Windows para backups), desabilita o firewall para evitar detecção e tenta manter a persistência copiando-se para um local oculto no sistema e alterando o registro do Windows. Essas táticas visam garantir que o ransomware possa ser executado mesmo após a reinicialização do sistema e resistir aos esforços de remoção.

Os riscos de pagar o resgate

Embora pagar o resgate possa parecer o caminho mais rápido para a recuperação, trata-se de uma aposta arriscada sem recompensa garantida. Os invasores podem pegar o dinheiro e desaparecer, ou fornecer uma chave de descriptografia defeituosa ou parcial. Além disso, pagar apenas alimenta ainda mais a atividade dos cibercriminosos e torna o ransomware mais lucrativo e atraente para os invasores.

Na maioria dos casos, a recuperação sem backups ou ferramentas oficiais de descriptografia é extremamente difícil. Infelizmente, backups armazenados em dispositivos conectados ou infectados também podem ser comprometidos. Portanto, práticas eficazes de backup — como armazenar cópias em unidades externas desconectadas ou em serviços de nuvem seguros — são essenciais.

Como o Pres Ransomware se espalha

Infecções por ransomware Pres são geralmente resultado de uma segurança fraca do Protocolo de Área de Trabalho Remota (RDP) . Cibercriminosos frequentemente exploram serviços RDP mal protegidos usando ataques de força bruta ou de dicionário para obter acesso não autorizado. Uma vez dentro, eles implantam o ransomware manualmente.

Outros métodos de infecção incluem e-mails de phishing contendo anexos ou links maliciosos, downloads "drive-by" de sites não confiáveis, software pirata com malware e anúncios enganosos. Os usuários também podem se deparar com ransomware por meio de redes P2P ou avisos falsos de atualização de software. O malware geralmente se disfarça de programa ou documento legítimo, induzindo os usuários a ativar a infecção.

Como se manter protegido

A prevenção de ransomwares como o Pres começa com um comportamento online inteligente e medidas sólidas de segurança cibernética. Evite baixar softwares de sites não oficiais, fuja de programas piratas ou geradores de chaves e nunca habilite macros em documentos do Office desconhecidos. Seja especialmente cauteloso com anexos de e-mail ou links de fontes desconhecidas, mesmo que pareçam urgentes ou importantes.

Atualize seu sistema operacional e software regularmente para corrigir vulnerabilidades conhecidas. Use ferramentas antivírus confiáveis que incluam recursos de proteção em tempo real. Faça backups frequentes de dados importantes e armazene-os em locais seguros e desconectados.

Considerações finais

O ransomware Pres é outro exemplo de quão sofisticadas e destrutivas as ameaças modernas de ransomware se tornaram. Ele combina furtividade técnica com manipulação social para pressionar as vítimas a pagar resgates que podem nem mesmo levar à recuperação de arquivos. Ao se manterem alertas, seguirem as melhores práticas de segurança cibernética e manterem backups seguros, usuários e organizações podem reduzir significativamente os riscos de lidar com esses esquemas de extorsão digital.