AeR Ransomware é baseado no código Dharma
AeR, um programa malicioso afiliado à família de ransomware Dharma, criptografa arquivos e exige resgates pela sua descriptografia.
AeR encripta ficheiros e modifica os seus nomes, anexando um ID exclusivo atribuído à vítima, o endereço de e-mail dos criminosos cibernéticos e uma extensão ".AeR". Para ilustrar, um arquivo originalmente denominado “1.jpg” se transforma em “1.jpg.id-9ECFA84E.[aerossh@nerdmail.co].AeR”.
Posteriormente, o ransomware gera duas notas de resgate separadas. Os arquivos de texto intitulados "info.txt" são depositados na área de trabalho e nos diretórios afetados, enquanto a outra mensagem aparece como uma janela pop-up.
O arquivo de texto do AeR incentiva principalmente a vítima a estabelecer contato com os cibercriminosos responsáveis pelo ataque. A janela pop-up fornece mais informações, explicando que os arquivos da vítima foram criptografados.
São dadas garantias quanto à possibilidade de recuperação de dados, com a implicação de que a desencriptação requer um pagamento de resgate em criptomoeda Bitcoin. A vítima tem a opção de testar a desencriptação de até três ficheiros sem nenhum custo (dentro dos parâmetros especificados). O pop-up termina com avisos explícitos.
Nota de resgate AeR usa modelo Dharma
O texto completo da nota de resgate gerada pelo ransomware AeR é o seguinte:
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: aerossh@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:aerossh@proton.meFree decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/Atenção!
Não renomeie arquivos criptografados.
Não tente descriptografar seus dados usando software de terceiros, pois isso pode causar perda permanente de dados.
A desencriptação dos seus ficheiros com a ajuda de terceiros pode aumentar o preço (eles acrescentam a sua taxa à nossa) ou pode tornar-se vítima de uma fraude.
Como o Ransomware criptografa dados e os torna inacessíveis?
O ransomware criptografa dados para torná-los inacessíveis por meio de um processo que envolve algoritmos de criptografia sofisticados. Aqui está uma visão geral de como isso normalmente ocorre:
Infiltração: o ransomware obtém acesso a um computador ou rede por vários meios, como e-mails de phishing, anexos maliciosos, sites comprometidos ou exploração de vulnerabilidades de software. Uma vez lá dentro, ele inicia seu processo de criptografia.
Execução: Após obter acesso, o ransomware executa seu código no sistema da vítima. Isto muitas vezes envolve a criação de múltiplas cópias de si mesmo e o início de processos que lhe permitem operar furtivamente.
Localização de arquivos: o ransomware verifica o sistema da vítima para identificar tipos de arquivos ou diretórios específicos que pretende criptografar. Algumas variantes de ransomware têm como alvo uma ampla variedade de tipos de arquivos, enquanto outras se concentram em dados específicos, como documentos, imagens ou bancos de dados.
Criptografia: O ransomware usa algoritmos de criptografia fortes e normalmente assimétricos, como RSA ou AES, para criptografar os arquivos identificados. A criptografia assimétrica envolve um par de chaves – uma chave pública para criptografar os dados e uma chave privada, mantida pelo invasor, para descriptografá-los. Isso garante que apenas o invasor possa descriptografar os arquivos.
Modificação de arquivo: uma vez criptografado, o ransomware geralmente modifica os nomes dos arquivos e adiciona uma extensão de arquivo específica para indicar que os arquivos estão agora sob seu controle. A vítima também pode receber uma nota de resgate explicando a situação e fornecendo instruções sobre como pagar para obter a chave de descriptografia.
Comunicação com servidor de comando e controle (C2): Em alguns casos, o ransomware se comunica com um servidor de comando e controle controlado pelo invasor. Esta comunicação pode envolver o envio de informações sobre o sistema infectado e o recebimento de instruções sobre como proceder com o pedido de resgate.
