Kmrox Ransomware é um membro da família Phobos

Durante o exame de novos envios de amostras de arquivos, nossos pesquisadores encontraram outra variante do ransomware Phobos chamada Kmrox. Esse tipo de malware se enquadra na categoria de ransomware, projetado para criptografar dados e exigir pagamento por sua descriptografia.

Em nosso sistema de testes, o Kmrox codificou arquivos e modificou seus nomes. Os nomes dos arquivos originais foram ampliados com uma identificação única vinculada à vítima, o endereço de e-mail dos cibercriminosos e uma extensão “.kmrox”. Por exemplo, um arquivo originalmente rotulado como "1.jpg" apareceu como "1.jpg.id[9ECFA84E-3489].[exezez@blaze420.it].kmrox" e assim por diante. Depois disso, notas de resgate foram geradas através de uma janela pop-up ("info.hta") e de um arquivo de texto ("info.txt").

As mensagens de resgate do Kmrox especificam que os arquivos estão inacessíveis devido à criptografia. As notas indicam que a única maneira de recuperar os arquivos é adquirir a chave de descriptografia e o software dos cibercriminosos. O pagamento é exigido na forma de criptomoeda Bitcoin, embora o valor exato não seja mencionado nessas mensagens – apenas sugere-se que o pagamento pode ser influenciado pela rapidez com que o contato é estabelecido.

A vítima também tem a opção de um teste de descriptografia gratuito (dentro de parâmetros específicos). As notas terminam com advertências contra a alteração dos dados criptografados e a busca de assistência de terceiros.

Kmrox usa longa nota de resgate

O texto completo da nota de resgate Kmrox é o seguinte:

Todos os seus arquivos foram criptografados!

No momento não há como descriptografar os dados, exceto solicitar-nos um descriptografador e uma chave com a qual você recuperará todos os seus dados.
Se você deseja restaurá-los, escreva-nos por e-mail: exezez@blaze420.it
Escreva este ID no título da sua mensagem -
Para um feedback rápido e conveniente, escreva para a operadora online no mensageiro do Telegram: @exezaz
(Tenha cuidado ao inserir o nome da conta do Telegram, deve ser exatamente igual ao acima, cuidado com contas falsas.)
Além disso, em alguns serviços de correio, sua carta pode não chegar ou cair no spam, portanto, para aumentar a probabilidade de receber uma resposta rápida, duplique também suas cartas para nossos endereços de e-mail extras: helze@cyberfear.com e exezaz@msgden.com
O pagamento pela descriptografia é feito em bitcoins. Para saber o preço escreva para os contactos acima indicados. Quanto antes você entrar em contato conosco, menor será o preço. Após o pagamento, enviaremos a você uma ferramenta que irá descriptografar todos os seus arquivos.

Descriptografia gratuita como garantia
Antes de pagar você pode nos enviar até 3 arquivos para descriptografia gratuita. O tamanho total dos arquivos deve ser inferior a 4 MB (não arquivados) e os arquivos não devem conter informações valiosas. (bancos de dados, backups, planilhas grandes do Excel, etc.)

Como obter Bitcoins
Você pode comprar Bitcoin em qualquer lugar conveniente para você. Um guia para iniciantes está aqui:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Atenção!
Para obter ajuda garantida na descriptografia de seus arquivos, entre em contato apenas com os contatos listados nesta nota, pois no momento existem muitos golpistas que,
sob o pretexto de que eles podem descriptografar seus dados, solicite uma descriptografia gratuita através de nós e faça isso como uma demonstração de que eles podem descriptografar seus arquivos.
Lembre-se de que a chave para descriptografar arquivos é individual em cada caso individual, portanto, você não poderá descriptografar seus arquivos usando software de terceiros, isso apenas danificará seus arquivos.
Se pretende comunicar através de um intermediário, verifique previamente o preço com o nosso operador, pois muitas vezes os intermediários cobram o preço real. !!! Ao entrar em contato com terceiros,
não garantimos a descriptografia dos seus arquivos!!!
Além disso, para evitar problemas de descriptografia, não renomeie seus arquivos.

O que é a família de clones do Phobos Ransomware?

A família de ransomware Phobos consiste em um grupo de variantes de ransomware que compartilham características e métodos de operação semelhantes. Essas variantes são frequentemente chamadas de "clones" porque se acredita que sejam derivadas do mesmo código-fonte original ou compartilhem uma estrutura comum. A família de ransomware Phobos é conhecida por criptografar os arquivos das vítimas e exigir um resgate pela sua descriptografia.

As variantes do ransomware Phobos normalmente apresentam as seguintes características:

• Criptografia de arquivos: como a maioria dos ransomware, as variantes do Phobos criptografam os arquivos das vítimas usando algoritmos de criptografia fortes, tornando os arquivos inacessíveis sem uma chave de descriptografia.
• Notas de resgate: O ransomware Phobos cria notas de resgate que informam as vítimas sobre a criptografia e fornecem instruções sobre como pagar o resgate para obter a chave de descriptografia.
• Contatos de e-mail: as notas de resgate geralmente incluem endereços de e-mail que as vítimas podem usar para entrar em contato com os invasores para obter mais instruções sobre pagamento e descriptografia.
• Extensões exclusivas: as variantes do Phobos geralmente acrescentam extensões exclusivas aos arquivos criptografados, tornando-os facilmente identificáveis. Essas extensões geralmente são uma combinação de caracteres ou identificadores aleatórios.
• Pagamentos Bitcoin: Os pedidos de resgate são normalmente solicitados em criptomoedas, particularmente Bitcoin, devido à sua natureza pseudónima que torna mais difícil o seu rastreio.
• Variabilidade nos valores de resgate: Diferentes variantes do ransomware Phobos podem ter valores de resgate variados, muitas vezes dependendo de fatores como o perfil da vítima e a rapidez com que fazem contato com os invasores.
• Distribuição direcionada: O ransomware Phobos é comumente distribuído por meio de e-mails de phishing, anexos maliciosos, kits de exploração e outros métodos usados por criminosos cibernéticos para espalhar malware.
• Base de código semelhante: as variantes do Phobos compartilham semelhanças no código e no comportamento, sugerindo uma fonte ou estrutura comum que os invasores modificaram para criar versões diferentes.

É importante notar que embora as variantes de Phobos compartilhem semelhanças, elas também podem evoluir ao longo do tempo com novos recursos, táticas e técnicas. Tal como acontece com qualquer ransomware, a melhor defesa contra Phobos e suas variantes é uma combinação de fortes práticas de segurança cibernética, backups regulares de dados, manutenção do software atualizado e uma abordagem cautelosa para anexos e links de e-mail.