Dx31 Ransomware är en Phobos-variant

Under vår analys av nya skadliga filprover identifierade vi Dx31 som ransomware tillhörande Phobos-familjen. Vid aktivering krypterar Dx31 data, ändrar filnamn för alla krypterade filer och presenterar två lösensedlar ("info.hta" och "info.txt").

Dx31 lägger till offrets ID, en e-postadress och tillägget ".dx31" till filnamnen. Till exempel omvandlar den "1.jpg" till "1.jpg.id[9ECFA84E-3449].[dx31@mail.com].dx31" och "2.png" till "2.png.id[9ECFA84E- 3449].[dx31@mail.com].dx31".

Lösenedeln följer ett vanligt mönster förknippat med ransomware-attacker, och meddelar offret om filkryptering på grund av ett påstått säkerhetsproblem med deras dator. Meddelandet instruerar offret att kontakta angriparna via e-post på dx31@mail.com, med betoning på inkluderingen av ett specifikt ID i e-postämnet.

Alternativt tillhandahålls en annan e-postadress (dx31@usa.com) för kontakt om det inte finns något svar inom 24 timmar. Kravet på betalning i Bitcoins för fildekryptering finns, med lösensumman ospecificerad, beroende på hastigheten på offrets svar.

För att etablera trovärdighet erbjuder angriparna att dekryptera upp till 5 filer utan kostnad, med villkor relaterade till filstorlek och innehåll. Anteckningen ger också vägledning om hur du skaffar Bitcoins och varnar för att döpa om krypterade filer eller använda tredjeparts dekrypteringstjänster för att undvika potentiella bedrägerier eller ökade lösensummor.

Dx31 Ransom Note i sin helhet

Den fullständiga texten i Dx31 lösennotan lyder som följer:

Alla dina filer har krypterats!
Alla dina filer har krypterats på grund av ett säkerhetsproblem med din PC. Om du vill återställa dem, skriv till oss på e-posten dx31@mail.com
Skriv detta ID i rubriken på ditt meddelande -
Om du inte svarar inom 24 timmar skriv till oss på denna e-post:dx31@usa.com
Du måste betala för dekryptering i Bitcoins. Priset beror på hur snabbt du skriver till oss. Efter betalning skickar vi verktyget som kommer att dekryptera alla dina filer.
Gratis dekryptering som garanti
Innan du betalar kan du skicka oss upp till 5 filer för gratis dekryptering. Den totala storleken på filer måste vara mindre än 4 Mb (ej arkiverade), och filer bör inte innehålla värdefull information. (databaser, säkerhetskopior, stora excelark, etc.)
Hur man skaffar Bitcoins
Det enklaste sättet att köpa bitcoins är LocalBitcoins webbplats. Du måste registrera dig, klicka på "Köp bitcoins" och välja säljare efter betalningsmetod och pris.
hxxps://localbitcoins.com/buy_bitcoins
Du kan också hitta andra ställen att köpa Bitcoins och nybörjarguide här:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Uppmärksamhet!
Byt inte namn på krypterade filer.
Försök inte att dekryptera dina data med programvara från tredje part, det kan orsaka permanent dataförlust.
Dekryptering av dina filer med hjälp av tredje part kan orsaka ökat pris (de lägger till sin avgift till vår) eller så kan du bli offer för en bluff.

Vad är Phobos Family of Ransomware-varianter?

Phobos-familjen är en grupp ransomware-varianter kända för sina skadliga aktiviteter i att kryptera filer på offrens datorer och kräva en lösensumma för dekryptering. Här är de viktigaste egenskaperna hos Phobos ransomware-familjen:

Filkryptering: Liksom andra ransomware-varianter, krypterar Phobos filerna på ett offers system, vilket gör dem otillgängliga. Vanliga filtyper som dokument, bilder, videor och mer är inriktade.

Lösenanteckningar: Efter kryptering av filerna lämnar Phobos vanligtvis lösensedlar på offrets system. Dessa anteckningar innehåller instruktioner om hur man kontaktar angriparna, detaljer om lösensumman och ibland inkluderar offrets unika ID eller andra identifierare.

Kommunikationskanaler: Phobos etablerar ofta kommunikationskanaler via e-postadresser som anges i lösensedlarna. Offren uppmanas att kontakta dessa e-postadresser för att förhandla om betalning och få instruktioner om hur de ska dekryptera sina filer.

Varianter och evolutioner: Phobos-familjen kan ha flera varianter eller utvecklas över tid med nya funktioner eller taktik. Dessa varianter kan ha likheter i sina kärnfunktioner men kan skilja sig åt när det gäller krypteringsalgoritmer, innehåll i lösensedlar eller distributionsmetoder.

Betalning i kryptovaluta: Liksom många ransomware-stammar kräver Phobos vanligtvis betalning i kryptovaluta, vanligtvis Bitcoin. Detta beror på att kryptovalutor ger en viss grad av anonymitet för angriparna under finansiella transaktioner.

Riktade attacker: Fobosattacker kan vara urskillningslösa och påverka individer, företag eller organisationer. Angriparna kan använda olika distributionsmetoder, såsom nätfiske-e-post, exploateringssatser eller sårbarheter i programvara, för att infektera system.

Dubbel utpressning: Vissa versioner av Phobos, liksom andra moderna ransomware-stammar, ägnar sig åt dubbel utpressningstaktik. Förutom att kryptera filer kan angripare hota att läcka känslig information om inte lösensumman betalas, vilket lägger till ytterligare ett lager av press på offren.