Xrp Ransomware criptografa unidades de vítimas

Ao examinar novas amostras de malware, encontramos uma variante de ransomware conhecida como Xrp, afiliada à família GlobeImposter. O objetivo principal do Xrp é criptografar arquivos, anexando um endereço de e-mail e a extensão ".xrp" aos nomes dos arquivos. Além disso, inclui uma nota de resgate ("Read_For_Restore_File.html").

Por exemplo, o Xrp altera nomes de arquivos como “1.jpg” para “1.jpg.[a.wyper@bejants.com].xrp” e “2.png” para “2.png.[a.wyper@bejants.com]. com].xrp" e assim por diante.

A nota de resgate informa às vítimas que os seus ficheiros foram encriptados usando um algoritmo robusto RSA-2048. Afirma que a restauração de arquivos é impossível sem uma chave secreta mantida pelos invasores.

Para recuperar os seus dados, as vítimas são instruídas a criar uma conta de e-mail em protonmail.com ou cock.li. A nota alerta contra o uso de um endereço de e-mail padrão, pois ele pode estar bloqueado. Posteriormente, as vítimas são orientadas a enviar um e-mail do endereço recém-criado para a.wyper@bejants.com, incluindo a sua identificação.

Os invasores prometem responder com mais instruções sobre como descriptografar os arquivos. Se não houver resposta dentro de 48 horas, será fornecido um endereço de e-mail alternativo, a.wyper@worldtravelnotebook.com.

Nota de resgate Xrp diz às vítimas para criarem um novo endereço de e-mail

O texto completo da nota de resgate Xrp é o seguinte:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Sua identificação pessoal:

PS
É do seu interesse responder o mais rápido possível para garantir a recuperação de seus arquivos, pois não armazenaremos suas chaves de descriptografia em nosso servidor por muito tempo.
Verifique a pasta "Spam" enquanto aguarda um e-mail nosso.
Se não respondermos à sua mensagem por mais de 48 horas, escreva para o e-mail de backup: a.wyper@worldtravelnotebook.com

P: Não recebeu resposta?
R: Verifique a pasta SPAM.
P: Minha pasta de spam está vazia, o que devo fazer?
R: Registre a caixa de e-mail em protonmail.com ou cock.li e siga as etapas acima.

Como o ransomware pode infectar seu sistema?

O ransomware pode infectar um sistema por vários meios, e os invasores geralmente empregam técnicas sofisticadas para explorar vulnerabilidades. Aqui estão os métodos comuns pelos quais o ransomware pode infectar seu sistema:

E-mails de phishing: um dos métodos mais comuns é por meio de e-mails de phishing. Os invasores enviam e-mails contendo anexos ou links maliciosos. Assim que o usuário abre o anexo ou clica no link, o ransomware é baixado e executado no sistema.

Sites maliciosos: visitar sites comprometidos ou maliciosos pode expor seu sistema a ransomware. Podem ocorrer downloads drive-by, onde o malware é baixado e instalado automaticamente sem o conhecimento ou consentimento do usuário.

Malvertising: os invasores usam anúncios maliciosos (malvertising) para distribuir ransomware. Sites legítimos podem exibir anúncios maliciosos sem saber, e clicar nesses anúncios pode levar ao download de ransomware.

Explorando vulnerabilidades de software: O ransomware pode explorar vulnerabilidades em sistemas operacionais, software ou aplicativos. Se o seu sistema não for atualizado regularmente com patches de segurança, ele se tornará mais suscetível a esses ataques.

Ataques de Protocolo de Área de Trabalho Remota (RDP): Os cibercriminosos podem tentar obter acesso não autorizado a um sistema por meio de conexões de Protocolo de Área de Trabalho Remota mal seguras. Uma vez lá dentro, eles podem implantar ransomware.

Engenharia social: os invasores podem usar técnicas de engenharia social para induzir os usuários a executar scripts maliciosos ou baixar arquivos infectados. Isso pode incluir enganar os usuários para que concedam permissões desnecessárias ou executem aplicativos aparentemente inofensivos.

Ataques Watering Hole: Nesse tipo de ataque, os cibercriminosos comprometem sites que são frequentemente visitados pelo público-alvo. Quando os usuários visitam esses sites, eles baixam malware sem saber, incluindo ransomware.

Instaladores de software infectados: instaladores de software maliciosos, muitas vezes disfarçados como aplicativos ou atualizações legítimos, podem entregar ransomware quando executados.