Buhti Ransomware syftar till offer som kör både Windows och Linux

Buhti är en typ av ransomware som riktar sig till både Windows- och Linux-system. Medan Buhti ransomware-nyttolasten främst fokuserar på Windows-datorer och är en variant av den tidigare läckta LockBit 3.0 ransomwaren med några mindre justeringar, har den också en modifierad version speciellt utformad för att attackera Linux-system och utnyttjar den läckta Babuk ransomware.

När Buhti infekterar ett system, krypterar det filer och ersätter deras ursprungliga filnamn med en sträng av slumpmässiga tecken. Dessutom läggs offrets ID till som det nya tillägget för varje krypterad fil. Till exempel skulle en fil som ursprungligen hette "1.jpg" omvandlas till "4G8of7O.fxkJts2wg", medan "2.png" skulle bli "HePwiFM.fxkJts2wg" och så vidare. Vid sidan av denna krypteringsprocess släpper Buhti också en lösennota med namnet "[offers_ID].README.txt".

Lösenedeln ger en förklaring till att offrets filer har krypterats med robusta krypteringsalgoritmer, vilket gör det praktiskt taget omöjligt för dem att dekryptera data självständigt. Men anteckningen hävdar att det finns en lösning tillgänglig för offren för att återställa sina filer – genom att köpa ett speciellt program som kallas dekryptering. Lösensomarna försäkrar offren att denna dekrypteringsmjukvara har genomgått grundliga tester och kommer att framgångsrikt återställa deras data.

För att återfå åtkomst till sina krypterade filer, instruerar anteckningen offren att använda en webbläsare och besöka en specifik webbplats. De uppmanas sedan att ange en giltig e-postadress, som kommer att användas för att ta emot en nedladdningslänk till dekryptören efter att betalningen är gjord. Lösenbetalningen begärs i Bitcoin och offren förses med en specifik Bitcoin-adress för transaktionen.

När betalningen är genomförd kommer offren att få ett e-postmeddelande med en länk till en nedladdningssida. Den här sidan innehåller detaljerade instruktioner om hur man använder dekrypteringsverktyget för att återställa sina filer. Lösenedeln understryker de potentiella riskerna med att modifiera eller försöka återställa filerna självständigt, och hävdar att sådana åtgärder inte kommer att leda till en framgångsrik återställning av den krypterade informationen.

Buhti Ransom Note ber om Bitcoin-betalning

Den fullständiga texten i Buhtis lösennota lyder som följer:

Välkommen till buhtiRansom

Vad hände?

Dina filer är krypterade. Vi använder starka krypteringsalgoritmer, så du kan inte dekryptera dina data.
Men du kan återställa allt genom att köpa ett speciellt program från oss - universal decryptor. Detta program kommer att återställa alla dina filer.
Följ våra instruktioner nedan så kommer du att återställa all din data.

Vilka garantier?

Vi värdesätter vårt rykte. Om vi inte gör vårt arbete och våra skyldigheter kommer ingen att betala oss. Detta ligger inte i vårt intresse.
All vår dekrypteringsmjukvara är perfekt testad och kommer att dekryptera dina data.

Hur får man tillgång?

Använda en webbläsare:
1) Öppna webbplats: hxxps://satoshidisk.com/pay/CIGsph
2) Ange giltig e-post för att få nedladdningslänk efter betalning.
3) Betala beloppet till Bitcoin-adress.
4) Ta emot e-postlänk till nedladdningssidan.
5) Dekryptera instruktion ingår.

!!! FARA !!!
MODIFIERA INTE eller försök att ÅTERSTÄLLA några filer själv. Det KOMMER INTE att kunna ÅTERSTÄLLA.
!!! FARA !!!

Hur distribueras Ransomware Like Buhti online?

Ransomware som Buhti distribueras vanligtvis online genom olika metoder, utnyttjar sårbarheter och använder social ingenjörstaktik. Här är några vanliga distributionskanaler och tekniker som används av ransomware som Buhti:

• Nätfiske-e-post: En vanlig metod är genom nätfiske-e-post. Angripare skickar vilseledande e-postmeddelanden som verkar legitima, ofta utger sig för att vara betrodda organisationer eller individer. Dessa e-postmeddelanden kan innehålla infekterade bilagor, såsom skadliga körbara filer eller dokument inbäddade med makroskadlig programvara. Att öppna dessa bilagor utlöser installationen av ransomware.
• Skadliga webbplatser och Drive-by-nedladdningar: Cyberkriminella kan skapa skadliga webbplatser eller äventyra legitima webbplatser för att distribuera ransomware. Intet ont anande användare kan omedvetet ladda ner ransomware genom att besöka dessa webbplatser eller klicka på komprometterade länkar. Drive-by-nedladdningar sker när skadlig programvara laddas ned automatiskt utan användarens medgivande eller vetskap.
• Exploit Kit: Ransomware kan levereras med exploateringssatser, som är verktygssatser som drar fördel av sårbarheter i programvara eller webbläsare. När en användare besöker en komprometterad webbplats eller klickar på en skadlig reklam, söker exploateringssatsen efter sårbarheter och levererar lösensumma nyttolasten.
• Remote Desktop Protocol (RDP)-attacker: Angripare riktar sig mot system med exponerade eller svagt säkrade Remote Desktop Protocol-anslutningar. De använder brute-force-attacker för att få obehörig åtkomst till systemet och installera ransomware.
• Skadliga annonser (malvertising): Skadliga annonser, eller malvertisements, kan hittas på legitima webbplatser och annonsnätverk. Dessa annonser innehåller dolda skript som omdirigerar användare till webbplatser som är värd för ransomware eller utlöser automatiska nedladdningar.
• Fildelningsnätverk och piratkopierad programvara: Olaglig eller knäckt programvara som laddas ner från fildelningsnätverk levereras ofta med ransomware eller annan skadlig programvara. Användare som vill skaffa programvara eller media utan att betala riskerar att oavsiktligt installera ransomware.
• Utnyttja sårbarheter i programvara: Ransomware-författare utnyttjar sårbarheter i operativsystem, applikationer eller nätverkstjänster. Genom att rikta in sig på oparpad eller föråldrad programvara kan de få obehörig åtkomst och distribuera lösenprogramvaran.

Det är avgörande att upprätthålla uppdaterad säkerhetsprogramvara, regelbundet tillämpa programkorrigeringar och uppdateringar, vara försiktig när du öppnar e-postbilagor eller klickar på misstänkta länkar, och använda starka, unika lösenord för att minimera risken att falla offer för ransomware-attacker.