Δευτέρα, 18 Ιουνίου 2018

Τα νέα των Ransomware, 18/6/2018

Πολύ καλά νέα, αποκρυπτογραφήσαμε τον Scarab Ransomware! Αν έχετε πέσει θύμα του, ελάτε σε επικοινωνία μαζί μας!
Αποκρυπτογραφήσαμε και τον Everbe! ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!

Κατά τ' άλλα, κυρίως μικρά νέα στελέχη είχαμε αυτήν την εβδομάδα, με κάποια να παρουσιάζουν ενδιαφέρον σχετικά με τον τρόπο διασποράς τους.


Ας τα δούμε αναλυτικά:

Νέος Ransomware - Donut -- MH ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!!

Αυτός τοποθετεί την επέκταση .donut στα κρυπτογραφημένα αρχεία και εμφανίζει το ακόλουθο Ransom Note. ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ - ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ!!


Νέα έκδοση του Paradise Ransomware

Η MalwareHunterTeam εντόπισε μία νέα έκδοση του Paradise Ransomware, που τοποθετεί την επέκταση _V.0.0.0.1{paradise@all-ransomware.info}.prt.




Νέος RotorCrypt

Ο RotorCrypt είναι εκεί έξω και συνεχίζει να διασπείρεται (αρκετά θύματα και στην Ελλάδα). Αυτή η νέα έκδοση δεν έχει κάτι το συνταρακτικό, εκτός από αυτήν την εξαιρετικά ενοχλητικά κατάληξη που χρησιμοποιεί για τα κρυπτογραφημένα αρχεία: !@#$%______<email>_____%$#@.mail



ΠΟΛΥ ΚΑΛΑ ΝΕΑ, ΑΠΟΚΡΥΠΤΟΓΡΑΦΗΣΑΜΕ ΤΟΝ SCARAB!

Στα καλά νέα, καταφέραμε και αποκρυπτογραφήσαμε έναν μεγάλο αριθμό παραλλαγών του Scarab Ransomware :-)
Μέσα σε αυτές είναι οι επεκτάσεις .scarab, .scorpio αλλά και πολλές άλλες.
ΕΛΑΤΕ ΣΕ ΕΠΙΚΟΙΝΩΝΙΑ ΜΑΖΙ ΜΑΣ!!





Νέος Xorist με εύκολη επέκταση

Εντοπίστηκε ένας νέος Xorist που χρησιμοποιεί αυτήν εύκολη επέκταση στα κρυπτογραφημένα αρχεία .......PAY_IN_MAXIM_24_HOURS_OR_ALL_YOUR_FILES_WILL_BE_PERMANENTLY_DELETED_PLEASE_BE_REZONABLE_you_have_only_1_single_chance_YOU_NEED_TO_PURCHASE_THE_DECRYPTOR_FROM_US_FAST_AND_URGENT.

Πάλι Scarab!

Λίγες ώρες μετά την επιτυχία της αποκρυπτογράφησης  του Scarab, εμφανίστηκαν τρία νέα στελέχη, που χρησιμοποιούν τις επεκτάσεις .fastrecovery@airmail.cc και .leen και αφήνει Ransom note που λέγεται Recover-files-xmail@cock.li.txt, How to recover encrypted files-fastrecovery@airmail.cc.txt και INSTRUCTIONS FOR RESTORING FILES.TXT αντίστοιχα.

Ψάχνουμε για δείγματα από αυτά τα νέα στελέχη για να δούμε αν η μέθοδος μας λειτουργεί και σε αυτά.
Αν κάποιος έχει μολυνθεί από αυτά,
παρακαλούμε να έρθει σε επικοινωνία μαζί μας.

Δευτέρα, 11 Ιουνίου 2018

Τα νέα των Ransomware, 11/6/2018

Αυτήν την εβδομάδα είχαμε έξαρση σε στελέχη του CryptConsole, Magniber και άλλων μικρών Ransomware. 

Συνεχίζει πάντως η πτώση στην κινητικότητα των Ransomware καθώς οι δημιουργοί τους κινούνται προς στοχευμένες επιθέσεις που έχουν περισσότερες πιθανότητες να εισπράξουν, παρά από τυφλά χτυπήματα μέσω malspam. 

Ας τα δούμε αναλυτικά:

Νέοι CryptConsole -- ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!

Την εβδομάδα που πέρασε, εμφανίστηκαν περισσότερες από 5 παραλλαγές του CryptConsole. Να υπενθυμίσουμε ότι έχουμε βρει λύση για όλους, οπότε ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!
Οι παραλλαγές που εμφανίστηκαν, έχουν πέσει στα χέρια μας και μπορούμε να αποκρυπτογραφήσουμε, χρησιμοποιούν τα email: xser@tutanote.com, redbul@tutanota.com, heineken@tuta.io (μη πίνετε πολύ, παιδιά...)

Χάθηκαν καταγραφές ετών από τις κάμερες του Αστυνομικού Τμήματος της Ατλάντα

Σύμφωνα με την Atlanta Journal, σε συνέντευξη που έδωσε η επικεφαλής του Α.Τ. Erika Shields, "οι καταγραφές των καμερών των περιπολικών έχουν χαθεί οριστικά". Το περιστατικό συνέβη το Μάρτιο και η επίθεση έγινε με τη χρήση του SamSam.
Σύμφωνα με τα όσα έγιναν γνωστά, η πόλη της Ατλάντα ξόδεψε περισσότερα από 5 εκατομμύρια δολλάρια προκειμένου να αποκαταστήσει τις βλάβες στα συστήματα που επηρεάστηκαν! Περισσότερα εδώ.




Νέος Ransomware  - RedEye

Άλλος ένας καταστροφικός Ransomware εμφανίστηκε, ο οποίος διαγράφει το περιέχομενο των αρχείων :(
Επιπροσθέτως, τροποποιεί το MBR προκειμένου να εμφανίσει μήνυμα σχετικό με τα λύτρα.

Ο δημιουργός του εμφανίστηκε σε φόρουμ και δήλωσε ότι το εν λόγω Ransomware δεν δημιουργήθηκε με σκοπό τη διασπορά αλλά "για πλάκα", αλλά έχουμε ήδη δύο αναφορές για κρούσματα...




Νέος GlobeImposter

Mέσα σε όλα, είχαμε και νέο GlobeImposter, που τοποθετεί την επέκταση .emilysupp. Υπενθυμίζουμε ότι ο GlobeImposter 2.0 θέρισε πριν λίγο καιρό, με πολλά θύματα και στην Ελλάδα.




Νέος Ransomware - Princess

Εντοπίστηκε να πωλείται στο Dark Web για  ένα κομμάτι ψωμί...

Νέος PGPSnippet - ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!

H MalwareHunterTeam εντόπισε ένα νέο στέλεχος του PGPSnippet που τοποθετεί την επέκταση .digiworldhack@tutanota.com στα κρυπτογραφημένα αρχεία. Όπως και με τα άλλα στελέχη του PGPSnippet, ΜΗ ΠΛΗΡΩΣΕΤΑ ΤΑ ΛΥΤΡΑ, ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ


Τρίτη, 5 Ιουνίου 2018

Τα νέα των Ransomware, 05/06/2018

Αρκετά busy η εβδομάδα που πέρασε, με πολλά νέα στελέχη να κάνουν την εμφάνισή τους.

Είχαμε επανεμφάνιση του CryptoMix, είχαμε νέο LockCrypt που υπό συνθήκες γίνεται wiper, είχαμε και νέο Jigsaw με C2 server.

Μας προξένησε εντύπωση ότι ο Sigrun προσφέρει δωρεάν αποκρυπτογράφηση στα θύματά του από τη Ρωσία και σας έχουμε και ένα απίστευτα αστείο facepalm στο τέλος του άρθρου.


Ας τα δούμε αναλυτικά:

Nέος Jigsaw - fun

Κάποιος "παίζει" με τον Jigsaw. Μάλιστα, είναι η πρώτη έκδοση που συναντάμε η οποία χρησιμοποιεί C2 Server (Command & Control) για τα κλειδιά.


Νέος LockCrypt 2.0

Στα κακά νέα της εβδομάδας, εμφανίστηκε ένας νέος LockCrypt, ο οποίος διορθώνει τα σφάλματα της προηγούμενης έκδοσης, τα οποία είχαμε εκμεταλλευτεί και μπορούσαμε να αποκρυπτογραφήσουμε. Πλέον μοιάζει να μην έχει αδυναμίες :(

Το "αστείο" της υπόθεσης (που δεν είναι καθόλου αστείο) είναι ότι η αποκρυπτογράφηση βασίζεται στο αρχείο Decode.key που αφήνει στο C:\Windows, συν το private κλειδί. Όμως, δεν τρέχει τη ρουτίνα ως διαχειριστής και δεν τσεκάρει αν η εγγραφή στο C:\Windows ήταν επιτυχής, με αποτέλεσμα αν αυτό αποτύχει, η αποκρυπτογράφηση να είναι 100% αδύνατη από οποιονδήποτε.


Διασπείρεται μέσω Remote Desktop, οπότε τα γνωστά...


Νέος Dharma Arrow

Mία νέα έκδοση του Dharma εμφανίστηκε, με επέκταση java2018@tuta.io.arrow.
Παρακάτω έχουμε ένα βίντεο της Cybersecurity που δείχνει τον τρόπο επίθεσης.







Και ο Aurora με C2 server

H MalwarehunterTeam ανακάλυψε αυτόν τον νέο Aurora ο οποίος χρησιμοποιεί κι αυτός πλέον C2 Server.


Νέος CryptConsole - helps

Aυτός πλέον χρησιμοποιεί άλλο email για την επικοινωνία, κατά τ' άλλα δεν έχουν αλλάξει και πολλά πράγματα. Εξακολουθούμε να μπορούμε να τον σπάσουμε!
ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ -- ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!


Τρίτη, 29 Μαΐου 2018

Τα νέα των Ransomware, 29/5/2018

Πολύ ήσυχη η εβδομάδα που μας πέρασε στον τομέα των Ransomware, και αυτό είναι πάντα καλό νέο.

Τα κυριότερα νέα αφορούν μία μεγάλη καμπάνια διασποράς του CryptON που έχει μολύνει πολύ κόσμο (και στην Ελλάδα).

Μιας και ο CryptON διασπείρεται μέσα από Remote Desktop που έχουν παραβιαστεί, είναι σημαντικό να αναφέρουμε για ΑΛΛΗ μία φορά, ότι το RDP θα πρέπει να ΜΗΝ είναι απευθείας συνδεδεμένο στο ίντερνετ, αλλά πίσω από VPN.


Ας τα δούμε αναλυτικά:

Nέος Unlock92 - cdrpt

Γνωστός και ως Unlckr, εμφανίστηκε με νέα επέκταση.
Παρακάτω, βίντεο της CyberSecurity με επίδειξη του τρόπου επιμόλυνσης.

Θερίζει ο CryptON


Mία τεράστια καμπάνια διασποράς του CryptON είχαμε αυτήν την εβδομάδα, και συνεχίζεται καθώς γράφονται αυτές οι γραμμές.
Στο γράφημα φαίνονται οι καταγραφές των δηλωμένων επιμολύνσεων ως τις 25/5.

Ο CryptON διασπείρεται μέσω χακαρισμένων Remote Desktop.
Όταν οι επιτιθέμενοι αποκτήσουν πρόσβαση στο θύμα μέσω του RDP, εγκαθιστούν χειροκίνητα τον CryptON, ο οποίος κρυπτογραφεί τα δεδομένα και τοποθετεί την επέκταση .ransomed@india.com 
Σε κάθε φάκελο αφήνει Ransom Note με τίτλο HOWTODECRYPTFILES.html το οποίο είναι αυτό:

Για αυτήν την έκδοση του CryptON δεν έχουμε βρει λύση ακόμα. Υπήρχε λύση για τις παλιότερες εκδόσεις του, όχι όμως και για αυτήν.

Μιας και ο CryptON διασπείρεται χειροκίνητα μέσω ευάλωτων Remote Desktop, είναι σημαντικό να τονίσουμε πως πρέπει να είναι κλειστές οι υπηρεσίες Remote Desktop για όσους δεν τις  χρησιμοποιούν, ή να είναι πίσω από VPN για όσους τις χρησιμοποιούν.

Nέος RotorCrypt

Eίχαμε καιρό να τον δούμε αυτόν, εμφανίστηκε με νέα επέκταση όπως φαίνεται στην εικόνα παρακάτω. Κατά τ' άλλα, δεν είδαμε σημαντικές αλλαγές. 


Νέος Ransomware - PGPSnippet

Αυτός είναι καινούργιος, τοποθετεί την επέκταση .decodeme666@tutanota.com και είναι εντελώς κακογραμμένος.
ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ -- ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ!

Δευτέρα, 21 Μαΐου 2018

Τα νέα των Ransomware, 21/5/2018

Για την εβδομάδα που πέρασε είχαμε συνέχεια της έξαρσης του GandCrab και του Samas, ενώ ενδιαφέρον παρουσίασαν ειδήσεις για χτυπήματα Ransomware σε διάφορες κυβερνητικές υπηρεσίες των ΗΠΑ.

Κατά τ' άλλα, παρατηρούμε αρκετά χτυπήματα CryptON/Sigrun στην Ελλάδα (προσοχή σε όλους!). 


Ας τα δούμε αναλυτικά:

Η αστυνομία του Riverside πέφτει θύμα Ransomware για δεύτερη φορά.


Επίθεση Ransomware δέχτηκε η αστυνομία του Riverside στο Ohio των ΗΠΑ, για δεύτερη φορά μέσα σε ένα μήνα.
Η επίθεση πραγματοποιήθηκε στις 4 Μαΐου αλλά έγινε γνωστή τώρα, καθώς έφτασαν στην πόλη στελέχη των μυστικών υπηρεσιών των ΗΠΑ για να διερευνήσουν την υπόθεση.
Αν και στην πρώτη επίθεση που έγινε στις 23/4/18, ανακοινώθηκε ότι χάθηκαν αρχεία που πήγαιναν μέχρι και 10 μήνες πίσω, αυτή τη φορά αναφέρθηκε ότι η απώλεια ήταν μερικών ωρών, καθώς υπήρχαν αντίγραφα.
Περισσότερα εδώ

Nέος Ransomware - CryptON

Βασίζεται στον Nemesis. Το ενδιαφέρον είναι ότι μπορεί να αναγνωρίσει Virtual Machines, στα οποία επιτίθεται επίσης. Τοποθετεί την επέκταση xxx.ransomed@india.com, όπου χχχ είναι το ID του θύματος. 


Nέος Ransomware/Wiper - Stalin

Αυτός είναι υπό κατασκευή, αλλά δουλεύει πολύ καλά και θα μπορούσε εύκολα να βγει στην κυκλοφορία.
Δίνει 10 λεπτά για να τοποθετηθεί ο σωστός κωδικός, ειδάλλως ξεκινάει να κάνει wipe τα δεδομένα του δίσκου.
Όσο "περιμένει" παίζει στο παρασκήνιο τον εθνικό ύμνο της Ρωσίας και εμφανίζει εικόνες του Στάλιν.
Προς το παρόν, ο κωδικός για να ξεκλειδώσει, προκύπτει αφαιρώντας την ημερομηνία επιμόλυνσης, από την ημερομηνία δημιουργίας και σχηματισμού της ΕΣΣΔ, δηλαδή 30/12/1922.
Το ενδιαφέρον είναι τις ημερομηνίες τις δέχεται γραμμένες με τον αμερικάνικο τρόπο, δηλαδή 1922.12.30.

Νέος Rapid - version 3 ΣΕ ΜΕΓΑΛΗ ΕΞΑΡΣΗ

Μία νέα έκδοση του Rapid είναι εκεί έξω και είναι σε έξαρση. Ήδη υπάρχουν πολλές αναφορές για επιμολύνσεις από πολλές χώρες.
Δυστυχώς ο συγκεκριμένος Ransomware δεν παρουσιάζει αδυναμίες, οπότε η αποκρυπτογράφησή του είναι αδύνατη. :(

Νέος Ransomware - Σήψη


Ονομάζεται Sepsis και εμφανίστηκε την Τετάρτη που μας πέρασε. Τοποθετεί την επέκταση .[Sepsis@protonmail.com].sepsis στα κρυπτογραφημένα αρχεία. Και όχι, δεν είναι ελληνικός.

Νέος Jigsaw - Booknish

Toποθετεί την επέκταση .booknish. Αφήνει κάτι εκφοβιστικά μηνύματα του τύπου "πλήρωσέ με τώρα ειδάλλως θα διαγράψω 1000 αρχεία αν κλείσεις τον Η/Υ".
Φυσικά, έχουμε βρεί λύση, μη πληρώσετε τα λύτρα.




Nέος Dharma - Bip

Δυστυχώς κυκλοφορεί ακόμα.
Εμφανίστηκε την