GrafGrafel Ransomware hotar dubbel utpressning

När vi undersökte nya filprover, upptäckte vårt forskarteam det skadliga programmet GrafGrafel, som tillhör Phobos ransomware-familjen. Den här typen av skadlig programvara krypterar data och kräver lösensummor för dekryptering.

Efter att ha kört ett prov av GrafGrafel på vår testmaskin, krypterade den filer och ändrade deras filnamn. De ursprungliga titlarna inkluderade nu ett unikt ID som tilldelats offret, cyberbrottslingarnas e-postadress och ett ".GrafGrafel"-tillägg. Till exempel, en fil som ursprungligen hette "1.jpg" omvandlades till "1.jpg.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel" efter kryptering.

Efter denna krypteringsprocess dök lösensummor upp i ett popup-fönster ("info.hta") och textfiler ("info.txt"). Textfilerna placerades i krypterade kataloger och på skrivbordet. Innehållet i dessa anteckningar indikerar att GrafGrafel specifikt riktar sig till företag snarare än enskilda användare, och använder sig av dubbel utpressningstaktik.

Både popup- och textfilerna innehåller identiska meddelanden som säger att offrets filer är krypterade och känslig företagsdata har exfiltrerats. Angriparna kräver en lösensumma och hotar att läcka den stulna informationen och hålla den låsta informationen oåtkomlig om deras krav inte uppfylls. Anteckningarna understryker risken för företagsdataläckor och nämner en 30-procentig minskning av lösensumman om offret kontaktar cyberbrottslingarna inom 6 timmar.

Innan betalningen görs har offret möjlighet att testa dekryptering på några små filer. Meddelanden varnar för åtgärder som kan resultera i permanent dataförlust, som att starta om eller stänga av systemet, byta namn/kopiera/flytta eller ändra de berörda filerna, använda tredjeparts dekrypteringsverktyg och kontakta återställningsföretag eller myndigheter.

GrafGrafel Ransom Note Spänner över flera sidor med text

Den fullständiga texten i GrafGrafel-lösennotan lyder som följer:

ATTENTION

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Vad du kommer att möta om din data hamnar på den svarta marknaden:
Dina anställdas och kunders personuppgifter kan komma att användas för att få lån eller köp i nätbutiker.
Du kan bli stämd av kunder till ditt företag för att ha läckt information som var konfidentiell.
Efter att andra hackare har fått personlig information om dina anställda kommer social ingenjörskonst att tillämpas på ditt företag och efterföljande attacker kommer bara att intensifieras.
Bankuppgifter och pass kan användas för att skapa bankkonton och onlineplånböcker genom vilka kriminella pengar kommer att tvättas.
Du kommer för alltid att förlora ryktet.
Du kommer att bli föremål för enorma böter från regeringen.
Du kan lära dig mer om ansvar för dataförlust här: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulationeller här hxxps://gdpr-info.eu
Domstolar, böter och oförmågan att använda viktiga filer kommer att leda till enorma förluster. Konsekvenserna av detta kommer att vara oåterkalleliga för dig.
Att kontakta polisen kommer inte att rädda dig från dessa konsekvenser, och förlorad data kommer bara att förvärra din situation.

Hur du kontaktar oss
Skriv oss till mejlen: GrafGrafel@tutanota.com
Du kan kontakta vår onlineoperatör i telegram: @GROUNDINGCONDUCTOR (VAR FÖRSIKTIG MED FAKE)
Ladda ner (Session) messenger hxxps://getsession.org i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Skriv detta ID i rubriken på ditt meddelande -
OM DU KOMMER ATT KONTAKTA OSS INOM DE FÖRSTA 6 timmarna, och vi stänger vår affär inom 24 timmar, KOMMER PRISET ENDAST 30%.
(tid är pengar för oss båda, om du tar hand om vår tid, kommer vi att göra detsamma, vi tar hand om priset och dekrypteringsprocessen kommer att göras MYCKET SNABB)
ALL NEDLADDAD DATA KOMMER ATT RADERAS efter betalning.

Vad nej att göra och rekommendation
Du kan ta dig ur den här situationen med minimala förluster (Vårt rykte är våra pengar!) !!! För att göra detta måste du strikt följa följande regler:
Ändra INTE, byt INTE namn på, kopiera INTE, flytta INTE några filer. Sådana åtgärder kan SKADA dem och dekryptering kommer att vara omöjlig.
ANVÄND INTE någon tredje parts eller offentlig dekrypteringsmjukvara, det kan också SKADA filer.
Stäng INTE av eller starta om systemet detta kan SKADA filer.
Anlita INTE några tredje parts förhandlare (återvinning/polis etc.) Du måste kontakta oss så snart som möjligt och påbörja förhandlingar.
Du kan skicka oss 1-2 små data, inte värdefiler för test, vi kommer att dekryptera det och skicka tillbaka det till dig.
Efter betalning behöver vi inte mer än 2 timmar för att dekryptera all din data. Vi kommer att stödja dig tills fullständig dekryptering kommer att göras! ! ! (Vårt rykte är våra pengar!)

Instruktioner för att kontakta vårt team:
Ladda ner (Session) messenger (hxxps://getsession.org) i messenger :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram : @GROUNDINGCONDUCTOR (VAR FÖRSIKTIG MED FAKE)
POST:GrafGrafel@tutanota.com

Vad är Phobos Family of Ransomware Clones?

Phobos är en familj av ransomware som har varit känd för att rikta sig mot Windows-system. Den är utformad för att kryptera filer på det infekterade systemet, vilket gör dem otillgängliga för användaren, och kräver sedan en lösensumma i utbyte mot dekrypteringsnyckeln. Phobos ransomware-familjen kännetecknas av att den använder ett specifikt filtillägg som läggs till de krypterade filerna, vilket ofta återspeglar namnet på ransomware-varianten.

Lösensedlarna som Phobos levererar innehåller vanligtvis instruktioner om hur offret kan betala lösen för att få dekrypteringsnyckeln. Phobos är känt för att använda dubbel utpressningstaktik, där den, förutom att kryptera filer, kan exfiltrera känslig data från det komprometterade systemet. Hotaktörerna bakom Phobos använder sedan den stulna informationen som hävstång och hotar att publicera den om inte lösensumman betalas.

Det är viktigt att notera att det finns många varianter och kloner inom Phobos ransomware-familjen, var och en med sina egna specifika egenskaper och operationsmetoder. Dessa varianter kan introduceras eller modifieras med tiden av olika cyberkriminella grupper. På grund av den utvecklande karaktären av ransomware, arbetar cybersäkerhetsexperter och antivirusföretag kontinuerligt för att upptäcka och mildra hot associerade med Phobos-familjen och andra ransomware-stammar. Att regelbundet uppdatera säkerhetsprogramvaran, utöva god cybersäkerhetshygien och upprätthålla säker säkerhetskopiering är avgörande för att minimera risken och effekten av ransomware-attacker.