DoctorHelp Ransomware baseado em MedusaLocker

Nossa equipe descobriu o DoctorHelp - um software malicioso classificado como ransomware, pertencente à família MedusaLocker. O objetivo principal do DoctorHelp é criptografar arquivos.

Além disso, DoctorHelp gera uma nota de resgate intitulada "How_to_back_files.html" e anexa a extensão ".doctorhelp" aos nomes dos ficheiros. Por exemplo, altera "1.jpg" para "1.jpg.doctorhelp" e "2.png" para "2.png.doctorhelp" e assim por diante. A nota de resgate transmite explicitamente que os arquivos essenciais de propriedade da vítima foram criptografados. Os cibercriminosos garantem à vítima que os arquivos permanecem intactos, mas sofreram alterações com criptografia RSA e AES. A nota desaconselha fortemente a tentativa de restauração de arquivos com software de terceiros, alegando que tais esforços resultariam em corrupção irreversível.

Os atores da ameaça afirmam que obtiveram dados pessoais e altamente confidenciais atualmente armazenados em um servidor privado. Supostamente, este servidor está configurado para destruição imediata após o recebimento do pagamento. Na ausência de pagamento, a nota ameaça divulgar os dados capturados ao público ou potenciais compradores, representando um risco iminente de exposição pública.

Além disso, os invasores propõem um acordo em que a vítima pode enviar de 2 a 3 arquivos não essenciais para descriptografia gratuita, como demonstração de sua capacidade de restaurar arquivos mediante pagamento. A nota de resgate fornece detalhes de contato (endereços de e-mail doctorhelperss@gmail.com e helpersdoctor@outlook.com) e aconselha a vítima a estabelecer uma conta de e-mail em protonmail.com para comunicação.

É estipulado um prazo de 72 horas, acompanhado de um aviso de que o não início do contato nesse prazo resultará no aumento do pedido de resgate. A mensagem termina com uma sugestão de utilização do Tor-chat para comunicação contínua, enfatizando o compromisso dos criminosos em manter contato durante todo o processo de negociação.

DoctorHelp Ransom Note promete descriptografia de alguns arquivos

O texto completo da nota de resgate do DoctorHelp é o seguinte:

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Nenhum software disponível na internet pode ajudá-lo. Somos os únicos capazes de
resolva seu problema.

Coletamos dados altamente confidenciais/pessoais. Esses dados estão atualmente armazenados em
um servidor privado. Este servidor será destruído imediatamente após o seu pagamento.
Se você decidir não pagar, divulgaremos seus dados ao público ou ao revendedor.
Portanto, você pode esperar que seus dados estejam disponíveis publicamente em um futuro próximo.

Buscamos apenas dinheiro e nosso objetivo não é prejudicar sua reputação ou impedir
seu negócio de funcionar.

Você poderá nos enviar de 2 a 3 arquivos não importantes e nós os descriptografaremos gratuitamente
para provar que somos capazes de devolver seus arquivos.

Contate-nos para saber o preço e obtenha o software de descriptografia.

e-mail:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
Para entrar em contato conosco, crie uma nova conta de e-mail gratuita no site: protonmail.com
SE VOCÊ NÃO ENTRAR EM CONTATO CONOSCO DENTRO DE 72 HORAS, O PREÇO SERÁ MAIS ALTO.

Tor-chat para estar sempre em contato:

Como os criminosos distribuem ransomware online?

Os criminosos usam vários métodos para distribuir ransomware online, aproveitando vulnerabilidades e explorando o comportamento humano. Aqui estão algumas táticas comuns empregadas por cibercriminosos para distribuir ransomware:

E-mails de phishing:
Os cibercriminosos costumam usar e-mails de phishing para distribuir ransomware. Enviam e-mails que parecem legítimos, muitas vezes imitando entidades ou serviços confiáveis, e incluem anexos ou links maliciosos. Clicar nesses anexos ou links pode acionar o download e a execução de ransomware.

Links e sites maliciosos:
Os criminosos criam sites maliciosos ou injetam códigos maliciosos em sites legítimos. Os usuários podem ser direcionados para esses sites por meio de e-mails de phishing, anúncios comprometidos ou outras táticas enganosas. Visitar esses sites pode levar ao download e instalação automáticos de ransomware.

Kits de exploração:
Os kits de exploração são kits de ferramentas que contêm código pré-escrito para explorar vulnerabilidades em software. Os cibercriminosos usam esses kits para atacar software desatualizado no sistema do usuário. Quando um usuário visita um site comprometido ou clica em um link malicioso, o kit de exploração identifica e explora vulnerabilidades, permitindo que o ransomware seja entregue e executado.

Malvertising:
Malvertising envolve a colocação de código malicioso em anúncios online. Quando os usuários clicam nesses anúncios ou visitam sites que os hospedam, o código malicioso pode explorar vulnerabilidades no navegador ou plug-ins do usuário para entregar ransomware.

Engenharia social:
Os cibercriminosos usam técnicas de engenharia social para manipular os usuários para que tomem ações que levem à infecção por ransomware. Isso pode envolver enganar os usuários para que baixem e executem arquivos maliciosos ou cliquem em links por meio de táticas enganosas, como alertas falsos, avisos ou ofertas atraentes.