Τα νέα των Ransomware, 10/09/18

Σας λείψαμε?
Εμάς, πάντως, δεν μας έλειψε καθόλου η καθημερινή μάχη με τους Ransomware.

Γενικά, τις προηγούμενες εβδομάδες είχαμε μεγάλη έξαρση του Dharma, με πολλά χτυπήματα και στην Ελλάδα. ΠΡΟΣΟΧΗ στους απατεώνες/καλοθελητές που υπόσχονται διάφορα.

Ας τα δούμε αναλυτικά:

ΧΑΟΣ ΜΕ ΤΟΝ DHARMA -- ΠΡΟΣΟΧΗ ΣΤΟΥΣ ΑΠΑΤΕΩΝΕΣ

Σε τεράστια έξαρση βρίσκεται εδώ και περίπου 1 μήνα ο Dharma, ο οποίος θυμίζουμε ότι μετατρέπει τα αρχεία σύμφωνα με αυτόν τον κανόνα:
filename.[<email>].wallet/.bip/.cmb/.arena

Θυμίζουμε επίσης ότι ο συγκεκριμένος Ransomware ΔΕΝ έχει λύση. Δεν υπάρχει από πουθενά κάποια αδυναμία που να μπορούμε να εκμεταλλευτούμε για να τον σπάσουμε και αυτό το υπογράφουμε. 
Τον τελευταίο καιρό, έχουν βγει στην πιάτσα διάφοροι απατεώνες που διατείνονται ότι έχουν λύση για τον Dharma.
Μας έχουν προσεγγίσει από τουλάχιστον 4 διαφορετικές μεριές την τελευταία εβδομάδα μόνο. Φυσικά τους καταγγείλαμε στις αρχές.
Ένα παράδειγμα:

Μην πιστεύετε τους απατεώνες. Όποιος δηλώνει ότι έχει λύση για τον Dharma bip/arena/cmb/wallet, είτε έχει μιλήσει με τους δημιουργούς του Dharma και έχει πάρει έκπτωση, έτσι ώστε να κερδίσει τη διαφορά, είτε είναι ο ίδιος ο δημιουργός του Dharma.

ΔΕΝ ΥΠΑΡΧΕΙ ΛΥΣΗ ΣΤΟΝ DHARMA ΧΩΡΙΣ ΤΟ MASTER KEY.

Για την ιστορία, οι παραπάνω "experts" μας κοστολόγησαν τη "δουλειά" τους 2800-3400 ευρώ, όσο περίπου δηλαδή κοστίζει και η παροχή του κλειδιού από τους δημιουργούς.

Nέος Ransomware - BarackObama

Ένα πολύ περίεργο malware εμφανίστηκε πρόσφατα, το οποίο κρυπτογραφεί μόνο τα .exe εκτελέσιμα αρχεία. Πιθανώς να είναι σε δοκιμαστικό στάδιο. Εμφανίζει μια εικόνα με τον πρώην πρόεδρο των ΗΠΑ και ζητάει "φιλοδώρημα" για την αποκρυπτογράφηση. 

Νέος Ransomware - Locdoor

Άλλη μία σαβούρα που δεν δουλεύει σωστά,
αφού από ένα σημείο και μετά κρασάρει και δεν λειτουργεί σωστά. Για όση ώρα λειτουργεί, τοποθετεί την επέκταση .door ακολουθούμενο από τυχαίους αριθμούς.

Νέα παραλλαγή του PyLocky

Toποθετεί την επέκταση .lockedfile ή .lockymap. 

Νέος Ransomware στοχεύει web servers

Επι του παρόντος δεν είναι γνωστό ποιος Ransomware είναι και ποια κατάληξη τοποθετεί, αν τοποθετεί.

Λύση για τον LockCrypt

Για την έκδοση με την επέκταση .1btc,
ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ - ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ!

Λύση για τον Aurora

Για τον Aurora, που τοποθετεί την αντίστοιχη επέκταση .Aurora,  

ΜΗ ΠΛΗΡΩΣΕΤΕ ΤΑ ΛΥΤΡΑ - ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ!

Λύση και για τον Desu!

Για αυτόν γράψαμε την προηγούμενη εβδομάδα ότι εκτός από την κρυπτογράφηση, τροποποιεί και το MBR. Λέγαμε ότι προς το παρόν δεν υπάρχει λύση.
Ο θεός Michael όμως, μας ενημέρωσε ότι έχει εντοπίσει ευαισθησία και είναι κοντά στη λύση!

Νέος Ransomware - Shiva Good

Μία παραλλαγή του Shiva που τοποθετεί την επέκταση .good είναι αρκετά δραστήρια με αρκετά θύματα.

Λύση και για τον CryptoJoker

Kάποιος προφανώς ηλίθιος developer ανέβασε τον decrypter από το Ransomware του, σε web site για να το ελέγξει αν ανιχνεύεται από τα antivirus!
O Michael Gillespie τον τσίμπησε, και έφτιαξε έναν δωρεάν decrypter. Ο CryptoJoker τοποθετεί την επέκταση .partially.cryptolocker και .fully.cryptolocker. 
Αν υπάρχει θύμα του εκεί έξω, ας έρθει σε επικοινωνία με τον Michael.

Νέος Ransomware - Bandarchor Pip

Mία νέα παραλλαγή του Bandarchor η οποία τοποθετεί την επέκταση .pip στα κρυπτογραφημένα αρχεία. Τίποτα το ιδιαίτερο.

Νέος Ransomware - 5H311 1NJ3C706

Αυτός θα τοποθετούσε την επέκταση 5H311 1NJ3C706 αν δούλευε σωστά. Πιο πολύ λειτουργεί ως screenlocker παρά ως Ransomware. O κωδικός για να απαλλαγείτε από το Screen lock είναι 666HackerThn 

Νέος Ransomware - Suri

Kάποιος μάλλον από την Ιταλία έφτιαξε αυτόν τον Ransomware. Είναι βασισμένος στον Stupid και έχουμε λύση.
Κάποιος πρέπει επίσης να του πει ότι 360 λεπτά δεν είναι 60 ώρες.

Καλή εβδομάδα σε όλους!

Ευχαριστούμε την BleepingComputer για την παροχή υλικού.