Ebaka Ransomware är baserad på Phobos-kod

Under granskningen av de senaste proverna av skadlig programvara kom vårt forskarteam över Ebaka ransomware, som är en medlem av Phobos ransomware-familjen. Ebaka har designats för att kryptera filer och kräver betalning i utbyte mot att de krypteras.

På vårt testsystem ändrade denna skadliga programvara filer genom kryptering och modifierade deras filnamn. De ursprungliga titlarna utökades med ett särskiljande ID som tilldelats offret, e-postadressen till cyberbrottslingarna och en ".ebaka"-tillägg. Till exempel omvandlades en fil som ursprungligen hette "1.jpg" till "1.jpg.id[1E857D00-3323].[datadownloader@proton.me].ebaka".

Efter att ha slutfört denna process genererade Ebaka lösensedlar och placerade dem på skrivbordet och i alla krypterade kataloger. En anteckning dök upp som ett popup-fönster ("info.hta"), medan den andra var en textfil ("info.txt"). Textfilen förmedlar budskapet att offrets filer har krypterats och uppmanar dem att kontakta angriparna för dekryptering.

Innehållet i lösensumman som visas i popup-fönstret ger ytterligare information om infektionen, och specificerar att dekryptering kräver betalning av en lösen i Bitcoin kryptovaluta. Enligt uppgift beror betalningsbeloppet på hur snabbt offret etablerar kontakt med cyberbrottslingarna.

Innan offret uppfyller kraven på lösen har offret möjlighet att testa dekryptering genom att skicka angriparna upp till fem krypterade filer, med vissa begränsningar. Meddelandet varnar också för att modifiera de låsta filerna eller använda tredjeparts dekrypteringsverktyg, eftersom sådana åtgärder kan resultera i permanent dataförlust. Dessutom varnas offret för att att söka hjälp från tredje part kan eskalera ekonomiska förluster.

Ebaka Ransom Note i sin helhet

Den fullständiga texten i Ebakas lösennota lyder som följer:

All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Gratis dekryptering som garanti
Innan du betalar kan du skicka oss upp till 5 filer för gratis dekryptering. Den totala storleken på filer måste vara mindre än 4 Mb (ej arkiverade), och filer bör inte innehålla värdefull information. (databaser, säkerhetskopior, stora excelark, etc.)

Hur man skaffar Bitcoins
Det enklaste sättet att köpa bitcoins är LocalBitcoins webbplats. Du måste registrera dig, klicka på "Köp bitcoins" och välja säljare efter betalningsmetod och pris.
hxxps://localbitcoins.com/buy_bitcoins
Du kan också hitta andra ställen att köpa Bitcoins och nybörjarguide här:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Uppmärksamhet!
Byt inte namn på krypterade filer.
Försök inte att dekryptera dina data med programvara från tredje part, det kan orsaka permanent dataförlust.
Dekryptering av dina filer med hjälp av tredje part kan orsaka ökat pris (de lägger till sin avgift till vår) eller så kan du bli offer för en bluff.

Hur kan Ransomware infektera din dator?

Ransomware kan infektera din dator på olika sätt, och angripare använder ofta social ingenjörskonst för att lura användare att ladda ner eller köra skadlig kod. Här är några vanliga metoder som ransomware kan infektera en dator med:

Nätfiske-e-postmeddelanden:
E-postbilagor: Cyberbrottslingar skickar ofta nätfiske-e-postmeddelanden med skadliga bilagor, som infekterade Word-dokument eller PDF-filer. När användaren öppnar bilagan exekveras ransomware.
Skadliga länkar: Nätfiske-e-postmeddelanden kan innehålla länkar till falska webbplatser som är värd för ransomware. Att klicka på dessa länkar kan utlösa nedladdning och installation av ransomware på din dator.

Skadliga webbplatser:
Att besöka komprometterade eller skadliga webbplatser kan utsätta din dator för drive-by-nedladdningar, där skadlig programvara, inklusive ransomware, automatiskt laddas ner och körs utan din vetskap.

Malvertising:
Cyberkriminella kan äventyra legitima annonsnätverk på nätet och placera skadliga annonser (malvertisements) på webbplatser. Att klicka på dessa annonser kan leda till nedladdning av ransomware.

Exploateringssatser:
Exploitsatser är skadliga verktygssatser som drar fördel av sårbarheter i programvara eller webbläsare. Om ditt system inte är uppdaterat med de senaste säkerhetskorrigeringarna kan ett exploateringspaket utnyttja dessa sårbarheter för att leverera ransomware.

Remote Desktop Protocol (RDP) attacker:
Angripare kan försöka få obehörig åtkomst till din dator genom att utnyttja svaga lösenord eller standardlösenord på Remote Desktop Protocol. Väl inne kan de distribuera ransomware.