Ymir Ransomware: леденящая душу угроза для данных и сетей

Что такое вирус-вымогатель Ymir?

Ymir Ransomware представляет собой сложный тип программ-вымогателей, которые шифруют файлы на скомпрометированных системах, используя криптографический алгоритм ChaCha20. Эта форма программ-вымогателей особенно сложна из-за ее уникального подхода к переименованию затронутых файлов, добавляя расширение, содержащее случайные символы. Например, файл, изначально названный "document.pdf", может быть переименован в "document.pdf.6C5oy2dVr6", что означает, что теперь он недоступен без ключа дешифрования.

После процесса шифрования программа-вымогатель Ymir оставляет заметный след. Жертвы находят записку с требованием выкупа под названием "INCIDENT_REPORT.pdf" в каждой скомпрометированной папке. Помимо этого, Ymir отображает полноэкранное предупреждающее сообщение перед экраном входа в систему, подчеркивая, что сеть была взломана, данные были зашифрованы, а конфиденциальная информация была украдена.

Вот полный текст записки с требованием выкупа:

#? What happened?
Your network has been compromised and attacked by hackers.
All files have been modified.
Sensitive information has been stolen and handed over to our
experts for analysis.

#? Why did this happen?
Your security system was weak, it allowed your company to be
hacked.

#? What are the possible consequences?
You won't be able to use your data, so the company is frozen. You
will lose money every day.
If you refuse to make a deal, your data will be published on the
internet, sold on darknet forums, shared with journalists and your
competitors.
You will suffer reputational damage, your stock will drop in value,
clients and sponsors will lose trust in you.
Also, if the incident becomes public, you will be noticed by law
enforcement agencies and then a long investigation with freezing
of your company will begin.
You'll get multiple fines in excess of the deal.

#? What do I get if I make a deal?
You get file recovery software. We'll remove the stolen data from our servers and provide proof.
You'll get an incident report and recommendations for protection.
You'll get a guarantee that our team will add you to our whitelist of
untouchable companies and we'll never come back to you again. We will not report the incident to anyone.

#? # Why are you doing this?
We're only interested in the money. We don't care about the rest. We also take pleasure in what we do.

#? How can I trust you?
You have no choice, either you lose everything or you trust us. We don't plan to deceive you. We operate in a public space, every
action we take is discussed.
If we defraud even 1 company, we will never be able to make a
good deal. We will definitely recover your files and we will definitely keep
everything confidential.
We are specialists with years of experience and we respect
ourselves and our reputation.
You'll see that we're a bargain when you contact us.

#? How do I proceed if I don't believe a word you say?
You can go to the recovery or the enforcers, but it will definitely
cost you more than dealing with us.
Recovery will buy our software with your token and sell it to you at
a 300% markup.
The enforcers will trample your company, talk to the lawyers, they
will tell you the consequences.

#? I'm the administrator of this network, what do I do?
Don't try to make a deal on your own, you won't have enough
salary for a few years.
Report the incident to your bosses. They'll find out anyway. We
have their contacts and we'll let them know in three days if no one
contacts us.
If you try to rebuild the network alone and hide the incident from
your bosses, you'll delay the inevitable. At some point, they'll hear
about it on the news and be furious that you denied them the
opportunity to save their company.

#? What do I do?
The first thing you should do is inform your bosses about the
incident.
You'll have to pay us to recover your files. Only we have the unique
token.
Don't try to use any third-party applications to recover your files,
they may be damaged irretrievably.
You need to contact us
You can send us 1-3 modified files and we will prove that we can
recover them. We will provide proof of the stolen data.

RecoverySupport@onionmail.org
To contact us, install qTOX messenger.
hxxps://github.com/qTox/qTox/releases/download/v1.17.6/setupqtox-x86_64-release.exe
Add our contact and we can make a deal.

Tox ID:
CF9AE1B27EAA4BF8C223735BEA15AAE23D5BA312B9D9061C805ABD99C373530DBDCC18B7C3BF

Понимание того, как работает Ymir Ransomware

Полноэкранное оповещение играет ключевую роль в стратегии Ymir, подчеркивая последствия нарушения и удерживая жертв от попыток расшифровки с помощью внешних средств. Злоумышленники подчеркивают, что использование несанкционированных методов расшифровки может привести к непоправимому повреждению файла. Это устрашающее сообщение призывает жертв сообщить соответствующим органам в своих организациях, усиливая давление с целью выполнения требований злоумышленников.

Сопроводительная записка о выкупе в формате PDF подтверждает эту срочность, объясняя, что выплата выкупа даст необходимые инструменты дешифрования и гарантии того, что украденные данные будут удалены с серверов злоумышленников. Записка предупреждает, что невыполнение требований может привести к утечке данных в сети, их продаже на рынках даркнета или предоставлению конкурентам, что может повлечь за собой значительные финансовые и репутационные потери.

Чего хочет Ymir Ransomware

Ymir Ransomware действует с ясным мотивом: финансовая выгода. Злоумышленники требуют оплату в обмен на инструмент дешифрования и предотвращение публикации украденных данных. Эта стратегия двойной угрозы не только заставляет жертв платить за восстановление доступа к своим файлам, но и использует страх публичного раскрытия данных, что может привести к серьезным последствиям для пострадавших организаций.

Чтобы убедить жертв в своей надежности, операторы программ-вымогателей предлагают расшифровать до трех файлов в качестве доказательства и предоставить доказательства кражи данных. Эта тактика повышает доверие к заявлениям злоумышленников и подталкивает жертв к соблюдению правил.

Механизм проникновения Имира

Многогранные, скоординированные операции характеризуют атаки Ymir. Первоначальное проникновение в сеть часто происходит с помощью команд PowerShell для удаленного управления. Кража данных обычно предшествует фазе шифрования, часто осуществляемой с помощью вредоносного ПО RustyStealer. Дополнительные инструменты, такие как Process Hacker и Advanced IP Scanner, поддерживают сетевой обход Ymir и доступ к системе, в то время как расширенные операции с памятью облегчают уклонение от обнаружения.

Эти операции на основе памяти включают в себя выполнение кода пошагово, чтобы избежать срабатывания сигналов тревоги. Сотни вызовов функций вставляют вредоносные инструкции в память, повышая скрытность Ymir и позволяя ему обходить обычные меры безопасности.

Способности Имира к самораспространению

Способность Ymir распространяться по локальным сетям добавляет еще один уровень сложности. Это самораспространение осуществляется через вредоносное ПО WinRM (Windows Remote Management) и SystemBC, использующее команды PowerShell для бесперебойного выполнения. Такие методы увеличивают потенциальный ущерб, расширяя охват от одной скомпрометированной системы до целой сети подключенных устройств.

Проблемы расшифровки и восстановления данных

Расшифровка файлов, зашифрованных Ymir, без сотрудничества со стороны злоумышленников часто невозможна. Эта реальность подчеркивает власть, которой обладают злоумышленники-вымогатели после того, как система скомпрометирована. Даже когда жертвы решают подчиниться и заплатить выкуп, нет никакой уверенности в том, что обещанные инструменты дешифрования будут предоставлены или что украденные данные будут надежно удалены. Поэтому эксперты по кибербезопасности настоятельно рекомендуют не платить, поскольку это увековечивает преступную деятельность и финансирует дальнейшее развитие программ-вымогателей.

Единственный надежный способ восстановить скомпрометированные файлы — использовать уже существующие, нетронутые резервные копии. Обеспечение того, чтобы эти резервные копии хранились отдельно, например, на автономных устройствах или удаленных серверах, имеет решающее значение для организаций, стремящихся восстановиться после инцидентов с программами-вымогателями.

Профилактические меры и передовой опыт

Учитывая комплексный подход Ymir, предотвращение заражения программами-вымогателями имеет решающее значение. Большинство программ-вымогателей, включая Ymir, распространяются через фишинговые письма, вредоносную рекламу и вредоносные загрузки, замаскированные под легальное программное обеспечение. Пользователи должны проявлять осторожность при работе с электронными письмами из неизвестных источников и избегать нажатия подозрительных ссылок или вложений. Загрузка программного обеспечения исключительно из проверенных источников и обеспечение того, чтобы программы обновлялись через официальные каналы, может снизить риск воздействия программ-вымогателей.

Рекомендуется хранить резервные копии в нескольких безопасных местах. Имея чистые копии данных, хранящиеся на удаленных серверах или офлайновых устройствах хранения, жертвы могут обойти выплаты выкупа и восстановить свои файлы самостоятельно.

Заключительные мысли

Ymir Ransomware служит суровым напоминанием о меняющемся ландшафте киберугроз. Его сочетание передовых методов шифрования, эксфильтрации данных и многоступенчатых стратегий атак создает значительные проблемы для организаций. Бдительность и соблюдение лучших практик кибербезопасности остаются передовой линией обороны в защите ценных данных и поддержании целостности сети.