Kmrox Ransomware — член семейства Фобос

Во время проверки новых образцов файлов наши исследователи наткнулись на еще один вариант программы-вымогателя Phobos под названием Kmrox. Этот тип вредоносного ПО относится к категории программ-вымогателей, предназначенных для шифрования данных и требования оплаты за их расшифровку.

В нашей тестовой системе Kmrox кодировал файлы и изменял их имена. Исходные имена файлов были дополнены уникальным идентификатором, связанным с жертвой, адресом электронной почты киберпреступников и расширением «.kmrox». Например, файл, который изначально был помечен как «1.jpg», появился как «1.jpg.id[9ECFA84E-3489].[exezez@blaze420.it].kmrox» и т. д. После этого примечания о выкупе были созданы через всплывающее окно («info.hta») и текстовый файл («info.txt»).

В сообщениях о выкупе от Kmrox указано, что файлы недоступны из-за шифрования. В примечаниях указано, что единственный способ восстановить файлы — это приобрести у киберпреступников ключ дешифрования и программное обеспечение. Платеж требуется в виде криптовалюты Биткойн, хотя точная сумма в этих сообщениях не упоминается – предполагается лишь, что на оплату может повлиять то, насколько быстро будет установлен контакт.

Жертве также предоставляется возможность пройти бесплатный тест на расшифровку (в рамках определенных параметров). Примечания завершаются предупреждениями против изменения зашифрованных данных и обращения за помощью к третьим лицам.

Kmrox использует длинную записку о выкупе

Полный текст записки о выкупе Kmrox выглядит следующим образом:

Все ваши файлы зашифрованы!

На данный момент нет возможности расшифровать данные, кроме как запросить у нас расшифровщик и ключ, с помощью которого вы восстановите все ваши данные.
Если вы хотите их восстановить, напишите нам по электронной почте: exezez@blaze420.it.
Напишите этот идентификатор в заголовке вашего сообщения -
Для быстрой и удобной обратной связи напишите онлайн-оператору в мессенджере Telegram: @exezaz
(Будьте осторожны при вводе имени учетной записи Telegram, оно должно быть точно таким же, как указано выше, остерегайтесь поддельных учетных записей.)
Также с некоторых почтовых сервисов ваше письмо может не дойти или попасть в спам, поэтому для увеличения вероятности получения быстрого ответа также дублируйте свои письма на наши запасные адреса электронной почты: helze@cyberfear.com и exezaz@msgden.com
Оплата за расшифровку производится в биткойнах. Для того, чтобы узнать цену, напишите по указанным контактам. Чем раньше вы обратитесь к нам, тем ниже будет цена. После оплаты мы вышлем вам инструмент, который расшифрует все ваши файлы.

Бесплатная расшифровка в качестве гарантии
Перед оплатой вы можете отправить нам до 3-х файлов для бесплатной расшифровки. Общий размер файлов должен быть не более 4Мб (не в архиве), файлы не должны содержать ценной информации. (базы данных, резервные копии, большие таблицы Excel и т. д.)

Как получить биткойны
Купить Bitcoin можно в любом удобном для вас месте, руководство для новичков здесь:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Внимание!
Чтобы получить гарантированную помощь в расшифровке ваших файлов, обращайтесь только по контактам, указанным в этой заметке, поскольку на данный момент существует множество мошенников, которые,
под предлогом того, что они могут расшифровать ваши данные, запросите у нас бесплатную расшифровку и выдайте это за демонстрацию того, что они могут расшифровать ваши файлы.
Помните, что ключ для расшифровки файлов индивидуален в каждом отдельном случае, поэтому самостоятельно расшифровать файлы с помощью стороннего программного обеспечения вы не сможете, это только испортит ваши файлы.
Если вы хотите общаться через посредника, то заранее уточняйте цену у нашего оператора, так как посредники часто накручивают реальную цену. !!! При обращении к третьим лицам,
мы не гарантируем расшифровку ваших файлов!!!
Также во избежание проблем с расшифровкой не переименовывайте файлы.

Что такое семейство клонов программ-вымогателей Phobos?

Семейство программ-вымогателей Phobos состоит из группы вариантов программ-вымогателей, которые имеют схожие характеристики и методы работы. Эти варианты часто называют «клонами», поскольку считается, что они созданы из одного и того же исходного исходного кода или имеют общую структуру. Семейство программ-вымогателей Phobos известно тем, что шифрует файлы жертв и требует выкуп за их расшифровку.

Варианты программ-вымогателей Phobos обычно обладают следующими характеристиками:

• Шифрование файлов. Как и большинство программ-вымогателей, варианты Phobos шифруют файлы жертв с использованием надежных алгоритмов шифрования, что делает файлы недоступными без ключа дешифрования.
• Заметки о выкупе: программа-вымогатель Phobos создает заметки о выкупе, которые информируют жертв о шифровании и содержат инструкции о том, как заплатить выкуп для получения ключа дешифрования.
• Контакты электронной почты: в заметках о выкупе обычно указаны адреса электронной почты, которые жертвы могут использовать для связи с злоумышленниками для получения дальнейших инструкций по оплате и расшифровке.
• Уникальные расширения: варианты Phobos часто добавляют уникальные расширения к зашифрованным файлам, что делает их легко идентифицируемыми. Эти расширения обычно представляют собой комбинацию случайных символов или идентификаторов.
• Платежи в биткойнах: требования о выкупе обычно запрашиваются в криптовалюте, особенно в биткойнах, из-за их псевдонимного характера, что затрудняет отслеживание.
• Различия в суммах выкупа. Различные варианты программы-вымогателя Phobos могут иметь разные суммы выкупа, часто в зависимости от таких факторов, как профиль жертвы и то, как быстро она вступает в контакт с злоумышленниками.
• Целевое распространение. Программа-вымогатель Phobos обычно распространяется через фишинговые электронные письма, вредоносные вложения, наборы эксплойтов и другие методы, используемые киберпреступниками для распространения вредоносного ПО.
• Схожая кодовая база: варианты Phobos имеют сходство в коде и поведении, что предполагает общий источник или структуру, которую злоумышленники модифицировали для создания разных версий.

Важно отметить, что, хотя варианты Фобоса имеют общие черты, они также могут со временем развиваться, добавляя новые функции, тактики и методы. Как и в случае с любыми программами-вымогателями, лучшая защита от Phobos и его разновидностей — это сочетание строгих мер кибербезопасности, регулярного резервного копирования данных, обновления программного обеспечения и осторожного подхода к вложениям и ссылкам электронной почты.