Программа-вымогатель Meduza (MedusaLocker)

В ходе анализа образцов вредоносного ПО была обнаружена программа-вымогатель Meduza, принадлежащая к семейству MedusaLocker. Его основной функцией является шифрование файлов, и он добавляет к именам файлов определенное расширение (например, «.meduza24»), а также генерирует записку о выкупе с именем «How_to_back_files.html».

Например, когда «Медуза» шифрует файлы, она переименовывает их следующим образом: «1.jpg» становится «1.jpg.meduza24», «2.png» меняется на «2.png.meduza24» и так далее.

В записке о выкупе жертве сообщается, что ее важные файлы были зашифрованы с использованием методов шифрования RSA и AES. Мы настоятельно не рекомендуем любые попытки восстановить эти файлы с помощью стороннего программного обеспечения, поскольку это может привести к необратимому повреждению. Также не рекомендуется изменять или переименовывать зашифрованные файлы.

Согласно записке о выкупе, никакое программное обеспечение, доступное в Интернете, не может помочь в расшифровке, и единственное решение остается за злоумышленниками. Они утверждают, что собрали конфиденциальные и личные данные, хранящиеся на частном сервере, которые будут удалены после получения оплаты. Неуплата приведет к тому, что данные будут обнародованы или проданы.

В примечании подчеркивается, что злоумышленники руководствуются исключительно финансовой выгодой и не имеют намерения нанести вред репутации или бизнес-операциям получателя. Чтобы продемонстрировать свои способности расшифровывать файлы, они предлагают бесплатно расшифровать 2-3 менее важных файла по запросу.

Контактная информация для переговоров о выкупе и получения программного обеспечения для дешифрования предоставляется по двум адресам электронной почты (ithelp01@securitymy.name и ithelp01@youshelted.com). В примечании также рекомендуется создать новую бесплатную учетную запись электронной почты на protonmail.com для установления контакта.

По истечении 72-часового срока сумма выкупа увеличивается, если жертве не удается связаться с злоумышленниками. Дополнительно есть ссылка на Тор-чат для постоянного общения.

Заявление о выкупе Meduza полностью

Полный текст записки «Медузы» с требованием выкупа выглядит следующим образом:

ВАШ ЛИЧНЫЙ ID:

В СЕТЬ ВАШЕЙ КОМПАНИИ БЫЛО ПРОНИКНОВЕНО
Все ваши важные файлы зашифрованы!

Ваши файлы в безопасности! Только модифицированный. (RSA+AES)

ЛЮБАЯ ПОПЫТКА ВОССТАНОВИТЬ ВАШИ ФАЙЛЫ С ПОМОЩЬЮ СТОРОННЕГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ
БУДЕТ НАВСЕГДА ЕГО ПОВРЕЖДЕНО.
НЕ ИЗМЕНЯЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.
НЕ ПЕРЕИМЕНОВАЙТЕ ЗАШИФРОВАННЫЕ ФАЙЛЫ.

Никакое программное обеспечение, доступное в Интернете, не может вам помочь. Мы единственные, кто способен
решить вашу проблему.

Мы собрали строго конфиденциальные/личные данные. Эти данные в настоящее время хранятся на
частный сервер. Этот сервер будет немедленно уничтожен после вашей оплаты.
Если вы решите не платить, мы опубликуем ваши данные или перепродадим их.
Таким образом, вы можете ожидать, что ваши данные станут общедоступными в ближайшем будущем.

Мы ищем только деньги, и наша цель – не навредить вашей репутации и не предотвратить
ваш бизнес от бега.

Вы можете отправить нам 2-3 неважных файла и мы бесплатно их расшифруем.
чтобы доказать, что мы можем вернуть ваши файлы.

Свяжитесь с нами, чтобы узнать цену и получить программное обеспечение для расшифровки.

электронная почта:
ithelp01@securitymy.name
ithelp01@youshelted.com
Чтобы связаться с нами, создайте новую бесплатную учетную запись электронной почты на сайте: protonmail.com.
ЕСЛИ ВЫ НЕ СВЯЖИТЕСЬ С НАМИ В ТЕЧЕНИЕ 72 ЧАСОВ, ЦЕНА БУДЕТ ВЫШЕ.

Тор-чат, чтобы всегда быть на связи:

Как программы-вымогатели могут заразить ваш компьютер?

Программы-вымогатели могут заразить ваш компьютер различными способами, и они часто используют тактику социальной инженерии, чтобы обманом заставить пользователей инициировать заражение. Вот несколько распространенных способов заражения вашего компьютера программами-вымогателями:

• Вредоносные вложения электронной почты. Один из наиболее распространенных методов — фишинговые электронные письма. Злоумышленники отправляют электронные письма, которые кажутся законными и могут содержать вложения, например PDF-файлы или документы Office, со встроенным вредоносным кодом. Когда вы открываете вложение, запускается программа-вымогатель.
• Вредоносные ссылки. Фишинговые электронные письма также могут содержать ссылки на вредоносные веб-сайты. Нажатие на эти ссылки может привести к попутной загрузке, при которой программа-вымогатель автоматически загружается и запускается без вашего ведома.
• Поддельные обновления программного обеспечения. Злоумышленники могут создавать поддельные уведомления об обновлениях программного обеспечения или всплывающие окна, имитирующие законные обновления для вашей операционной системы или программного обеспечения. Если вы загрузите и установите эти поддельные обновления, вы можете по незнанию установить программу-вымогатель.
• Зараженное программное обеспечение. Иногда злоумышленники компрометируют законные установщики программного обеспечения и внедряют в них программу-вымогатель. Когда вы загружаете и устанавливаете программу, которая кажется безопасной, вы случайно устанавливаете программу-вымогатель.
• Вредоносная реклама. Вредоносная реклама или вредоносная реклама предполагает размещение киберпреступниками зараженной рекламы на законных веб-сайтах. Нажатие на эти объявления может перенаправить вас на веб-сайты, распространяющие программы-вымогатели.
• Атаки на протокол удаленного рабочего стола (RDP). Если ваш RDP неправильно защищен, злоумышленники могут использовать уязвимости для получения удаленного доступа к вашему компьютеру. Оказавшись внутри, они могут установить программу-вымогатель.
• Использование уязвимостей. Программы-вымогатели могут использовать уязвимости программного обеспечения в вашей операционной системе или приложениях. Поддержание вашего программного обеспечения в актуальном состоянии с использованием последних исправлений безопасности помогает защититься от этого метода.
• Социальная инженерия. Злоумышленники могут выдавать себя за доверенных лиц, таких как служба технической поддержки или коллег, чтобы обманом заставить вас загрузить и выполнить файлы, содержащие программы-вымогатели.