Meduza (MedusaLocker) Ransomware
Meduza, que é um tipo de ransomware da família MedusaLocker, foi identificado durante nossa análise de amostras de malware. Sua função principal é criptografar arquivos e anexa uma extensão específica (como ".meduza24") aos nomes dos arquivos, ao mesmo tempo que gera uma nota de resgate chamada "How_to_back_files.html".
Para ilustrar, quando Meduza encripta ficheiros, renomeia-os da seguinte forma: "1.jpg" torna-se "1.jpg.meduza24", "2.png" muda para "2.png.meduza24" e assim por diante.
A nota de resgate informa à vítima que seus arquivos cruciais foram criptografados usando métodos de criptografia RSA e AES. Desencoraja fortemente qualquer tentativa de recuperar estes ficheiros usando software de terceiros, pois isso pode levar à corrupção permanente. Modificar ou renomear os arquivos criptografados também é desaconselhável.
De acordo com a nota de resgate, nenhum software disponível online pode ajudar na descriptografia e a única solução está nas mãos dos invasores. Eles afirmam ter coletado dados pessoais e altamente confidenciais, armazenados em um servidor privado, que serão excluídos após o recebimento do pagamento. O não pagamento resultaria na divulgação ou venda dos dados.
A nota enfatiza que os invasores são motivados exclusivamente por ganhos financeiros e não têm intenção de prejudicar a reputação ou as operações comerciais do destinatário. Para demonstrar a sua capacidade de desencriptar ficheiros, oferecem a desencriptação de 2 a 3 ficheiros menos importantes gratuitamente, mediante solicitação.
As informações de contato para negociar o resgate e obter software de descriptografia são fornecidas através de dois endereços de e-mail (ithelp01@securitymy.name e ithelp01@yousheltered.com). A nota também aconselha a criação de uma nova conta de e-mail gratuita em protonmail.com para estabelecer contato.
Passado o prazo de 72 horas, o valor do resgate aumenta se a vítima não conseguir entrar em contato com os invasores. Além disso, há uma referência ao Tor-chat para comunicação contínua.
Nota de resgate de Meduza na íntegra
O texto completo da nota de resgate da Meduza é o seguinte:
SUA IDENTIFICAÇÃO PESSOAL:
A REDE DA SUA EMPRESA FOI PENETRADA
Todos os seus arquivos importantes foram criptografados!Seus arquivos estão seguros! Apenas modificado. (RSA+AES)
QUALQUER TENTATIVA DE RESTAURAR SEUS ARQUIVOS COM SOFTWARE DE TERCEIROS
IRÁ corrompê-lo permanentemente.
NÃO MODIFIQUE ARQUIVOS CRIPTOGRAFADOS.
NÃO RENOMEIE ARQUIVOS CRIPTOGRAFADOS.Nenhum software disponível na internet pode ajudá-lo. Somos os únicos capazes de
resolva seu problema.Coletamos dados altamente confidenciais/pessoais. Esses dados estão atualmente armazenados em
um servidor privado. Este servidor será destruído imediatamente após o seu pagamento.
Se você decidir não pagar, divulgaremos seus dados ao público ou ao revendedor.
Portanto, você pode esperar que seus dados estejam disponíveis publicamente em um futuro próximo.Buscamos apenas dinheiro e nosso objetivo não é prejudicar sua reputação ou impedir
seu negócio de funcionar.Você poderá nos enviar de 2 a 3 arquivos não importantes e nós os descriptografaremos gratuitamente
para provar que somos capazes de devolver seus arquivos.Contate-nos para saber o preço e obtenha o software de descriptografia.
e-mail:
ithelp01@securitymeu.nome
ithelp01@yousheltered.com
Para entrar em contato conosco, crie uma nova conta de e-mail gratuita no site: protonmail.com
SE VOCÊ NÃO ENTRAR EM CONTATO CONOSCO DENTRO DE 72 HORAS, O PREÇO SERÁ MAIS ALTO.Tor-chat para estar sempre em contato:
Como o ransomware pode infectar seu computador?
O ransomware pode infectar seu computador por meio de vários métodos e geralmente depende de táticas de engenharia social para induzir os usuários a iniciar a infecção. Aqui estão algumas maneiras comuns pelas quais o ransomware pode infectar seu computador:
- Anexos de e-mail maliciosos: um dos métodos mais comuns é por meio de e-mails de phishing. Os invasores enviam e-mails que parecem legítimos e podem conter anexos, como PDFs ou documentos do Office, com código malicioso incorporado. Ao abrir o anexo, o ransomware é executado.
- Links maliciosos: e-mails de phishing também podem incluir links para sites maliciosos. Clicar nesses links pode levar a downloads drive-by, onde o ransomware é baixado e executado automaticamente sem o seu conhecimento.
- Atualizações falsas de software: os invasores podem criar notificações falsas de atualização de software ou pop-ups que imitam atualizações legítimas para seu sistema operacional ou software. Se você baixar e instalar essas atualizações falsas, poderá instalar ransomware sem saber.
- Software infectado: às vezes, os invasores comprometem instaladores de software legítimos e injetam ransomware neles. Ao baixar e instalar o que parece ser um programa seguro, você instala inadvertidamente um ransomware.
- Malvertising: publicidade maliciosa, ou malvertising, envolve cibercriminosos que colocam anúncios infectados em sites legítimos. Clicar nesses anúncios pode redirecioná-lo para sites que distribuem ransomware.
- Ataques de protocolo de área de trabalho remota (RDP): se o seu RDP estiver protegido de maneira inadequada, os invasores poderão explorar vulnerabilidades para obter acesso remoto ao seu computador. Uma vez lá dentro, eles podem instalar ransomware.
- Explorando vulnerabilidades: O ransomware pode explorar vulnerabilidades de software em seu sistema operacional ou aplicativos. Manter seu software atualizado com os patches de segurança mais recentes ajuda a proteger contra esse método.
- Engenharia social: os invasores podem se passar por entidades confiáveis, como suporte técnico ou colegas, para induzi-lo a baixar e executar arquivos que contenham ransomware.
