Trash Panda Ransomware exibe nota de resgate incomum
Durante nosso exame de rotina de envios de arquivos recentes, nosso grupo de pesquisa se deparou com a variante do ransomware Trash Panda. Esse software malicioso específico foi descoberto como parte de nossos esforços contínuos para investigar ameaças emergentes.
Ao executar uma amostra do Trash Panda em nosso ambiente de teste controlado, o programa imediatamente iniciou sua rotina de criptografia de dados. Como resultado, os nomes dos arquivos foram alterados com a adição de uma extensão ".monochrome". Por exemplo, um arquivo chamado "1.jpg" foi rapidamente transformado em "1.jpg.monochrome", enquanto "2.png" se tornou "2.png.monochrome" e assim por diante. Depois que esse processo de criptografia chegou à conclusão, uma nota de resgate rotulada como "[random_string]-readme.html" foi gerada.
A nota de resgate empregada pelo Trash Panda transmite a mensagem angustiante de que os arquivos da vítima foram criptografados com segurança. A nota continua defendendo o contato com os agentes mal-intencionados por trás do ataque, a fim de iniciar o processo de recuperação dos dados comprometidos. Um aviso crucial está incluído, ressaltando que a falha em estabelecer contato com os cibercriminosos antes que a contagem regressiva chegue a zero resultará na exclusão permanente da chave de descriptografia, tornando inúteis quaisquer tentativas de restauração de dados.
Nota de resgate do Trash Panda faz alusão a conflito militar
O texto completo do ransomware Trash Panda usa leet-speak, substituindo letras por números, e se refere a algum tipo de conflito armado sem mencionar nada específico. A nota diz o seguinte:
Equipe Trash Panda esteve aqui
Todos os seus arquivos foram descartados pelo nosso
7r45H P4ND4 Asomeware
Vamos fazer um D341. Você liberta nosso povo. Liberamos seus dados.
Não tente recuperar nenhum arquivo. Todos os arquivos foram descartados usando um padrão de criptografia muito avançado estabelecido pelo Instituto Nacional de Padrões e Tecnologia dos EUA (NIST). Você pode verificar o link a seguir para saber como seus arquivos foram descartados. hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard
Não nos importamos com seus dados. Não nos importamos com dinheiro. Queremos que nossa família volte para nós e VOCÊ SAIA DE NOSSA PÁTRIA.
Oh, BTW, você limitou o tempo para tomar decisões. Excluiremos a chave mestra depois que o relógio de contagem regressiva expirar. Depressa ~ Depressa ~
SUA CHAVE SERÁ EXCLUÍDA APÓS
(temporizador de contagem regressiva)Você pode entrar em contato conosco em -
Se você quiser seus arquivos de volta, coloque a seguinte chave no formulário de entrada. Entraremos em contato com você mais tarde
Como o Ransomware Like Trash Panda é distribuído online?
A distribuição de ransomware como o Trash Panda normalmente envolve uma variedade de táticas e técnicas projetadas para explorar vulnerabilidades, comportamentos do usuário e fraquezas tecnológicas. Embora eu não tenha informações específicas sobre os métodos de distribuição do "Trash Panda", já que meu limite de conhecimento é em setembro de 2021, posso fornecer informações gerais sobre como o ransomware é comumente distribuído:
- E-mails de phishing: os cibercriminosos geralmente enviam e-mails convincentes que parecem ser de fontes legítimas, contendo anexos ou links maliciosos. Quando os usuários interagem com esses anexos ou links, a carga útil do ransomware é baixada e executada em seu sistema.
- Malvertising: Anúncios maliciosos em sites ou redes de anúncios podem levar os usuários a sites que hospedam ransomware. A simples visita a um site comprometido pode desencadear o download do ransomware no computador da vítima.
- Drive-By Downloads: os cibercriminosos podem explorar vulnerabilidades em software, plug-ins ou componentes do navegador para fornecer ransomware ao sistema de um usuário sem qualquer interação do usuário. Isso é conhecido como download drive-by.
- Instaladores de software comprometidos: os invasores podem se infiltrar em instaladores de software legítimos, adicionando a carga útil do ransomware. Quando os usuários baixam e instalam o software de fontes comprometidas, o ransomware também é instalado.
- Ataques de Protocolo de Área de Trabalho Remota (RDP): Os invasores podem atingir sistemas com conexões RDP fracas ou desprotegidas. Eles obtêm acesso e instalam o ransomware manualmente ou usam ferramentas automatizadas para fornecer a carga útil do ransomware.
- Macros maliciosas: macros maliciosas incorporadas em documentos do Microsoft Office podem ser usadas para baixar e executar ransomware quando os usuários ativam macros nesses documentos.
