Программа-вымогатель AeR основана на коде Дхармы

AeR, вредоносная программа, связанная с семейством программ-вымогателей Dharma, шифрует файлы и требует выкуп за их расшифровку.

AeR шифрует файлы и изменяет их имена, добавляя уникальный идентификатор, присвоенный жертве, адрес электронной почты киберпреступников и расширение «.AeR». Для иллюстрации: файл, первоначально помеченный как «1.jpg», преобразуется в «1.jpg.id-9ECFA84E.[aerossh@nerdmail.co].AeR».

Впоследствии программа-вымогатель генерирует две отдельные записки о выкупе. Текстовые файлы с названием «info.txt» размещаются на рабочем столе и в затронутых каталогах, а другое сообщение появляется во всплывающем окне.

Текстовый файл AeR в первую очередь побуждает жертву установить контакт с киберпреступниками, ответственными за атаку. Всплывающее окно предоставляет дополнительную информацию, объясняющую, что файлы жертвы были зашифрованы.

Даны заверения относительно возможности восстановления данных, при этом подразумевается, что для расшифровки потребуется уплата выкупа в криптовалюте Биткойн. Жертва имеет возможность бесплатно протестировать расшифровку до трех файлов (в пределах заданных параметров). Всплывающее окно завершается явными предупреждениями.

В записке о выкупе AeR используется шаблон Дхармы

Полный текст записки о выкупе, созданной программой-вымогателем AeR, выглядит следующим образом:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: aerossh@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:aerossh@proton.me

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Внимание!
Не переименовывайте зашифрованные файлы.
Не пытайтесь расшифровать ваши данные с помощью стороннего программного обеспечения, это может привести к безвозвратной потере данных.
Расшифровка ваших файлов с помощью третьих лиц может привести к увеличению цены (они добавляют свою комиссию к нашей) или вы можете стать жертвой мошенничества.

Как программы-вымогатели шифруют данные и делают их недоступными?

Программа-вымогатель шифрует данные, делая их недоступными с помощью сложных алгоритмов шифрования. Вот краткий обзор того, как это обычно происходит:

Проникновение: программа-вымогатель получает доступ к компьютеру или сети различными способами, например, через фишинговые электронные письма, вредоносные вложения, взломанные веб-сайты или использование уязвимостей программного обеспечения. Оказавшись внутри, он начинает процесс шифрования.

Выполнение: после получения доступа программа-вымогатель выполняет свой код в системе жертвы. Это часто включает в себя создание множества своих копий и запуск процессов, которые позволяют ему действовать скрытно.

Поиск файлов: программа-вымогатель сканирует систему жертвы, чтобы определить конкретные типы файлов или каталоги, которые она намеревается зашифровать. Некоторые варианты программ-вымогателей нацелены на широкий спектр типов файлов, тогда как другие ориентированы на конкретные данные, такие как документы, изображения или базы данных.

Шифрование. Программы-вымогатели используют надежные и обычно асимметричные алгоритмы шифрования, такие как RSA или AES, для шифрования идентифицированных файлов. Асимметричное шифрование включает пару ключей: открытый ключ для шифрования данных и закрытый ключ, которым владеет злоумышленник, для их расшифровки. Это гарантирует, что только злоумышленник сможет расшифровать файлы.

Изменение файла. После шифрования программа-вымогатель часто изменяет имена файлов и добавляет определенное расширение файла, чтобы указать, что файлы теперь находятся под его контролем. Жертва также может получить записку о выкупе с объяснением ситуации и инструкциями о том, как заплатить, чтобы получить ключ дешифрования.

Связь с сервером управления и контроля (C2). В некоторых случаях программа-вымогатель взаимодействует с сервером управления и контроля, контролируемым злоумышленником. Это общение может включать отправку информации о зараженной системе и получение инструкций о том, как продолжить требование выкупа.