Mamai Ransomware é uma nova variante do MedusaLocker

Nossos pesquisadores descobriram Mamai, um tipo de ransomware que pertence à família de ransomware MedusaLocker. Ao testar o malware em nosso sistema, ele começou a criptografar os arquivos e a adicionar a extensão ".mamai10" aos nomes dos arquivos. O número específico na extensão pode variar dependendo da variante do ransomware.

Depois que o processo de criptografia foi concluído, Mamai soltou uma mensagem de resgate chamada "How_to_back_files.html" na área de trabalho. Esta mensagem indica que Mamai visa empresas em vez de usuários individuais. A nota de resgate afirma que a rede da empresa da vítima foi violada e os arquivos foram criptografados usando algoritmos RSA e AES. A nota adverte contra renomear ou modificar os arquivos criptografados, bem como usar ferramentas de descriptografia de terceiros, pois isso resultaria em perda permanente de dados. Os atacantes afirmam ter roubado os dados pessoais e confidenciais das vítimas.

Para recuperar o acesso aos arquivos criptografados, os invasores exigem o pagamento de um resgate. Se a vítima se recusar a pagar, seus dados permanecerão inacessíveis e os dados roubados serão vendidos ou vazados. O tamanho do resgate não é especificado, mas a nota avisa que aumentará se o contato com os invasores não for feito em 72 horas. A vítima pode testar a descriptografia enviando de dois a três arquivos criptografados aos invasores antes de pagar o resgate, de acordo com a nota.

A nota de resgate de Mamai não menciona nenhum resgate específico

O texto completo da nota de resgate de Mamai é o seguinte:

SUA ID PESSOAL:

! A REDE DA SUA EMPRESA FOI PENETRADA!
Todos os seus arquivos importantes foram criptografados!

Seus arquivos estão seguros! Somente modificado. (RSA+AES)

QUALQUER TENTATIVA DE RESTAURAR SEUS ARQUIVOS COM SOFTWARE DE TERCEIROS
IRÁ CORROMPÊ-LO PERMANENTEMENTE.
NÃO MODIFIQUE ARQUIVOS CRIPTOGRAFADOS.
NÃO RENOMEIE ARQUIVOS CRIPTOGRAFADOS.

Nenhum software disponível na internet pode ajudá-lo. Somos os únicos capazes de
resolver o seu problema.

Coletamos dados altamente confidenciais/pessoais. Esses dados são atualmente armazenados em
um servidor privado. Este servidor será imediatamente destruído após o seu pagamento.
Se você decidir não pagar, divulgaremos seus dados ao público ou ao revendedor.
Portanto, você pode esperar que seus dados estejam disponíveis publicamente em um futuro próximo.

Buscamos apenas dinheiro e nosso objetivo não é prejudicar sua reputação ou impedir
seu negócio de funcionar.

Você pode nos enviar de 2 a 3 arquivos não importantes e nós os descriptografaremos gratuitamente
para provar que podemos devolver seus arquivos.

Entre em contato conosco para saber o preço e obter o software de descriptografia.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion

• Observe que este servidor está disponível apenas pelo navegador Tor

Siga as instruções para abrir o link:

1. Digite o endereço "hxxps://www.torproject.org" em seu navegador de Internet. Ele abre o site do Tor.
2. Pressione "Baixar Tor", depois pressione "Baixar pacote do navegador Tor", instale e execute-o.
3. Agora você tem o navegador Tor. No navegador Tor, abra qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
4. Inicie um bate-papo e siga as instruções adicionais.
   Se você não pode usar o link acima, use o e-mail:
   ithelp01@decorous.cyou
   ithelp01@wholeness.business

• Para entrar em contato conosco, crie uma nova conta de e-mail gratuita no site: protonmail.com
  SE VOCÊ NÃO NOS CONTATAR DENTRO DE 72 HORAS, O PREÇO SERÁ MAIS ALTO.

Como o Ransomware Like Mamai é normalmente distribuído?

Ransomware como Mamai pode ser distribuído por vários meios, incluindo e-mails de phishing, anexos maliciosos, sites comprometidos e kits de exploração. E-mails de phishing são o método mais comum de distribuição, onde os cibercriminosos enviam e-mails de aparência legítima que induzem os usuários a clicar em links maliciosos ou baixar anexos infectados.

Os anexos maliciosos são outro método popular de distribuição, em que os cibercriminosos enviam e-mails com anexos que contêm o ransomware, disfarçados de arquivos ou documentos legítimos. Sites comprometidos e kits de exploração também são usados para distribuir ransomware, explorando vulnerabilidades em software ou usando downloads drive-by.