Kmrox Ransomware är en Phobos-familjemedlem

Under granskningen av nya filprovsinlämningar kom våra forskare över en annan variant av Phobos ransomware som heter Kmrox. Denna typ av skadlig programvara faller under kategorin ransomware, som är utformad för att kryptera data och kräva betalning för dess dekryptering.

På vårt testsystem kodade Kmrox filer och ändrade deras namn. De ursprungliga filnamnen utökades med en unik identifiering kopplad till offret, e-postadressen till cyberbrottslingarna och ett tillägg ".kmrox". Till exempel, en fil som ursprungligen var märkt som "1.jpg" dök upp som "1.jpg.id[9ECFA84E-3489].[exezez@blaze420.it].kmrox," och så vidare. Efter detta genererades lösensedlar genom ett popup-fönster ("info.hta") och en textfil ("info.txt").

Lösenmeddelandena från Kmrox anger att filerna är otillgängliga på grund av kryptering. Anteckningarna visar att det enda sättet att återställa filerna är att köpa dekrypteringsnyckeln och programvaran från cyberbrottslingarna. Betalningen krävs i form av Bitcoin kryptovaluta, även om det exakta beloppet inte nämns i dessa meddelanden – det föreslås bara att betalningen kan påverkas av hur snabbt kontakten upprättas.

Offret ges också möjligheten till ett gratis dekrypteringstest (inom specifika parametrar). Anteckningarna avslutas med varningar mot att ändra den krypterade informationen och att söka hjälp från tredje part.

Kmrox använder lång lösensumma

Den fullständiga texten i Kmrox lösennota lyder som följer:

Alla dina filer har krypterats!

För närvarande finns det inget sätt att dekryptera data, förutom att begära från oss en dekryptering och en nyckel med vilken du kommer att återställa all din data.
Om du vill återställa dem, skriv till oss via e-post: exezez@blaze420.it
Skriv detta ID i rubriken på ditt meddelande -
För snabb och bekväm feedback, skriv till onlineoperatören i Telegram Messenger: @exezaz
(Var försiktig när du anger Telegram-kontonamnet, det måste vara exakt samma som ovan, akta dig för falska konton.)
Dessutom, från vissa e-posttjänster, kanske ditt brev inte når eller hamnar i skräppost, så för att öka sannolikheten för att få ett snabbt svar, duplicera även dina brev till våra lediga e-postadresser: helze@cyberfear.com och exezaz@msgden.com
Betalning för dekryptering sker i bitcoins. För att få reda på priset, skriv till ovanstående kontakter. Ju tidigare du kontaktar oss, desto lägre blir priset. Efter betalning skickar vi ett verktyg som dekrypterar alla dina filer.

Gratis dekryptering som garanti
Innan du betalar kan du skicka oss upp till 3 filer för gratis dekryptering. Den totala storleken på filer måste vara mindre än 4 Mb (ej arkiverade), och filer bör inte innehålla värdefull information. (databaser, säkerhetskopior, stora excelark, etc.)

Hur man skaffar Bitcoins
Du kan köpa Bitcoin var som helst som passar dig, en nybörjarguide finns här:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Uppmärksamhet!
För att få garanterad hjälp med att dekryptera dina filer, vänligen kontakta endast kontakterna som anges i denna anteckning, eftersom det för tillfället finns många bedragare som,
under förevändning att de kan dekryptera dina uppgifter, begära en gratis dekryptering genom oss och skicka det ut som en demonstration av att de kan dekryptera dina filer.
Kom ihåg att nyckeln för att dekryptera filer är individuell i varje enskilt fall, så du kommer inte att kunna dekryptera dina filer själv med hjälp av programvara från tredje part, det kommer bara att förstöra dina filer.
Om du vill kommunicera via en mellanhand, kontrollera priset med vår operatör i förväg, eftersom mellanhänder ofta avslutar det verkliga priset. !!! När du kontaktar tredje part,
vi garanterar inte dekrypteringen av dina filer!!!
För att undvika problem med dekryptering bör du inte byta namn på dina filer.

Vad är Phobos Ransomware Family of Clones?

Phobos ransomware-familjen består av en grupp ransomware-varianter som delar liknande egenskaper och arbetssätt. Dessa varianter kallas ofta för "kloner" eftersom de tros vara härledda från samma ursprungliga källkod eller delar ett gemensamt ramverk. Phobos ransomware-familjen är känd för att kryptera offers filer och kräva en lösensumma för deras dekryptering.

Phobos ransomware-varianter uppvisar vanligtvis följande egenskaper:

• Filkryptering: Som de flesta ransomware, krypterar Phobos-varianter offrens filer med starka krypteringsalgoritmer, vilket gör filerna otillgängliga utan en dekrypteringsnyckel.
• Ransom Notes: Phobos ransomware skapar lösensedlar som informerar offer om krypteringen och ger instruktioner om hur man betalar lösen för att få dekrypteringsnyckeln.
• E-postkontakter: Lösensedlarna innehåller vanligtvis e-postadresser som offren kan använda för att kontakta angriparna för ytterligare instruktioner om betalning och dekryptering.
• Unika tillägg: Phobos-varianter lägger ofta till unika tillägg till krypterade filer, vilket gör dem lätta att identifiera. Dessa tillägg är vanligtvis en kombination av slumpmässiga tecken eller identifierare.
• Bitcoin-betalningar: Lösenkraven begärs vanligtvis i kryptovaluta, särskilt Bitcoin, på grund av dess pseudonyma karaktär som gör det svårare att spåra.
• Variabilitet i lösenbelopp: Olika varianter av Phobos ransomware kan ha olika lösensummor, ofta beroende på faktorer som offrets profil och hur snabbt de får kontakt med angriparna.
• Riktad distribution: Phobos ransomware distribueras vanligen genom nätfiske-e-postmeddelanden, skadliga bilagor, exploateringssatser och andra metoder som används av cyberbrottslingar för att sprida skadlig programvara.
• Liknande kodbas: Phobos-varianter delar likheter i kod och beteende, vilket föreslår en gemensam källa eller ramverk som angripare har modifierat för att skapa olika versioner.

Det är viktigt att notera att även om Phobos-varianter delar likheter, kan de också utvecklas över tiden med nya funktioner, taktik och tekniker. Som med alla ransomware är det bästa försvaret mot Phobos och dess varianter en kombination av starka cybersäkerhetsmetoder, regelbundna säkerhetskopieringar av data, att hålla programvaran uppdaterad och att upprätthålla en försiktig inställning till e-postbilagor och länkar.