Buhti Ransomware destina-se a vítimas que executam Windows e Linux

Buhti é um tipo de ransomware que tem como alvo os sistemas Windows e Linux. Embora a carga útil do ransomware Buhti se concentre principalmente em computadores Windows e seja uma variante do ransomware LockBit 3.0 vazado anteriormente com alguns pequenos ajustes, ele também possui uma versão modificada projetada especificamente para atacar sistemas Linux, aproveitando o ransomware Babuk vazado.

Quando o Buhti infecta um sistema, ele criptografa os arquivos e substitui seus nomes originais por uma sequência de caracteres aleatórios. Além disso, o ID da vítima é anexado como a nova extensão para cada arquivo criptografado. Por exemplo, um arquivo originalmente denominado "1.jpg" seria transformado em "4G8of7O.fxkJts2wg", enquanto "2.png" se tornaria "HePwiFM.fxkJts2wg" e assim por diante. Juntamente com esse processo de criptografia, Buhti também lança uma nota de resgate chamada "[ID_da_vítima].README.txt".

A nota de resgate fornece uma explicação de que os arquivos da vítima foram criptografados usando algoritmos de criptografia robustos, tornando praticamente impossível para eles descriptografar os dados independentemente. No entanto, a nota afirma que existe uma solução disponível para as vítimas recuperarem seus arquivos - comprando um programa especial conhecido como descriptografador. Os resgatadores garantem às vítimas que este software de descriptografia passou por testes completos e restaurará seus dados com sucesso.

Para recuperar o acesso aos seus arquivos criptografados, a nota instrui as vítimas a usar um navegador da web e visitar um site específico. Eles são solicitados a inserir um endereço de e-mail válido, que será usado para receber um link de download para o descriptografador após o pagamento ser feito. O pagamento do resgate é solicitado em Bitcoin e as vítimas recebem um endereço Bitcoin específico para a transação.

Assim que o pagamento for concluído, as vítimas receberão um e-mail contendo um link para uma página de download. Esta página inclui instruções detalhadas sobre como usar o descriptografador para restaurar seus arquivos. A nota de resgate enfatiza os riscos potenciais de modificar ou tentar recuperar os arquivos de forma independente, alegando que tais ações não levarão a uma restauração bem-sucedida dos dados criptografados.

Nota de resgate de Buhti pede pagamento em Bitcoin

O texto completo da nota de resgate de Buhti é o seguinte:

Bem-vindo ao buhtiRansom

O que aconteceu?

Seus arquivos são criptografados. Usamos algoritmos de criptografia fortes, então você não pode descriptografar seus dados.
Mas você pode restaurar tudo comprando um programa especial nosso - descriptografador universal. Este programa irá restaurar todos os seus arquivos.
Siga nossas instruções abaixo e você recuperará todos os seus dados.

Quais garantias?

Valorizamos nossa reputação. Se não fizermos nosso trabalho e responsabilidades, ninguém nos pagará. Isso não é do nosso interesse.
Todo o nosso software de descriptografia é perfeitamente testado e irá descriptografar seus dados.

Como obter acesso?

Usando um navegador:
1) Abra o site: hxxps://satoshidisk.com/pay/CIGsph
2) Digite um e-mail válido para receber o link de download após o pagamento.
3) Pague o valor no endereço Bitcoin.
4) Receba o link por e-mail para a página de download.
5) Instrução de descriptografia incluída.

!!! PERIGO !!!
NÃO MODIFIQUE ou tente RECUPERAR nenhum arquivo por conta própria. NÃO SERÁ capaz de RESTAURAR.
!!! PERIGO !!!

Como o Ransomware Like Buhti é distribuído online?

Ransomware como o Buhti normalmente é distribuído online por meio de vários métodos, explorando vulnerabilidades e empregando táticas de engenharia social. Aqui estão alguns canais de distribuição comuns e técnicas usadas por ransomware como o Buhti:

• E-mails de phishing: um método predominante é através de e-mails de phishing. Os invasores enviam e-mails enganosos que parecem legítimos, geralmente se passando por organizações ou indivíduos confiáveis. Esses e-mails podem conter anexos infectados, como arquivos executáveis maliciosos ou documentos incorporados com malware de macro. Abrir esses anexos aciona o processo de instalação do ransomware.
• Sites maliciosos e downloads direcionados: os cibercriminosos podem criar sites maliciosos ou comprometer sites legítimos para distribuir ransomware. Usuários desavisados podem baixar o ransomware inadvertidamente visitando esses sites ou clicando em links comprometidos. Os downloads drive-by ocorrem quando o malware é baixado automaticamente sem o consentimento ou conhecimento do usuário.
• Kits de exploração: o ransomware pode ser fornecido usando kits de exploração, que são kits de ferramentas que tiram proveito de vulnerabilidades em software ou navegadores da web. Quando um usuário visita um site comprometido ou clica em um anúncio malicioso, o kit de exploração verifica vulnerabilidades e entrega a carga útil do ransomware.
• Ataques de protocolo de área de trabalho remota (RDP): os invasores têm como alvo sistemas com conexões de protocolo de área de trabalho remota expostas ou mal protegidas. Eles empregam ataques de força bruta para obter acesso não autorizado ao sistema e instalar ransomware.
• Anúncios maliciosos (malvertising): Anúncios maliciosos, ou malvertisements, podem ser encontrados em sites legítimos e redes de anúncios. Esses anúncios contêm scripts ocultos que redirecionam os usuários para sites que hospedam ransomware ou acionam downloads automáticos.
• Redes de compartilhamento de arquivos e software pirateado: software ilegítimo ou crackeado baixado de redes de compartilhamento de arquivos geralmente vem junto com ransomware ou outro malware. Os usuários que procuram obter software ou mídia sem pagar correm o risco de instalar ransomware inadvertidamente.
• Exploração de vulnerabilidades de software: os autores de ransomware exploram vulnerabilidades em sistemas operacionais, aplicativos ou serviços de rede. Ao visar software desatualizado ou sem patches, eles podem obter acesso não autorizado e implantar a carga útil do ransomware.

É crucial manter o software de segurança atualizado, aplicar patches e atualizações de software regularmente, ter cuidado ao abrir anexos de e-mail ou clicar em links suspeitos e usar senhas fortes e exclusivas para minimizar o risco de ser vítima de ataques de ransomware.