Τα νέα των Ransomware, 27/5/2019

Αρκετά και για αυτήν την εβδομάδα, με τους κλασικούς STOP - Dharma - Scarab να συνεχίζουν ακάθεκτοι αλλά και κάποιες λύσεις για άλλα στελέχη.

Αναλύουμε τον τρόπο που λειτουργεί ο GetCrypt και μεταφέρουμε καλά νέα.

Είχαμε και επιθέσεις στο αεροδρόμιο του Louisville, είχαμε και μια ενδιαφέρουσα ανάλυση για την επίθεση στη Βαλτιμόρη.

Ας τα δούμε αναλυτικά:

Νέοι STOP

Τώρα είχαμε:
- Τον .FEROSAS
- Toν .radman
- Toν .rectot
- Τον .skymap
- Τον .shadow

Έναν λιγότερο, δηλαδή σε σχέση με την προηγούμενη εβδομάδα.

Ανάκτηση δεδομένων από σκληρούς δίσκους

Σε φουλ ρυθμούς για να προλάβουμε να παραδώσουμε δεδομένα πριν το Σαββατοκύριακο.

Now, that's what we call a busy Friday 

Τα νέα των Ransomware, 20/5/2019

Συνοπτικά όλη η εβδομάδα:
STOP - Dharma - STOP - Dharma - STOP - Dharma - Dharma - Dharma - STOP - Dharma.

Είχαμε και την ανάλυση της ProPublica η οποία ντροπιάζει το επάγγελμά μας, χάρη σε κάποιους "συναδέλφους" που ισχυρίζονται ότι αποκρυπτογραφούν Ransomware, ενώ στην πραγματικότητα το μόνο που κάνουν είναι να πληρώνουν τα λύτρα και να εισπράτουν την προμήθεια. Χαρακτηριστικά είναι τα παραδείγματα και "συναδέλφων" στη χώρα μας.

Ας τα δούμε αναλυτικά:

Νέοι STOP

Πλέον θεωρούμε ότι είναι αδύνατον να καταμετρηθούν όλα τα στελέχη του STOP που κυκλοφορούν εκεί έξω. Εμείς έχουμε καταγεγραμμένα περισσότερα από 80, και αυτά μόλις το τελευταίο δίμηνο.
Για την εβδομάδα που μεσολάβησε, είχαμε:
- Τον .codnat
- Toν .codnat1
- Toν .bufas
- Τον .dotmap
- Τον .fordan
- Toν .assumer
Όλοι αυτοί είναι κοινοί μεταξύ τους, απλώς τους διαχειρίζονται διαφορετικοί εγκληματίες.

Τα νέα των Ransomware, 6/5/2019

Είχαμε μία εβδομάδα με ενδιαφέροντα νέα, όπως τον MegaCortex που χτυπάει συστήματα της Sophos, όπως το σοβαρό κενό ασφαλείας στους WebLogic Servers μέσω του οποίου εγκαθίσταται Ransomware, είχαμε και πολλά νέα στελέχη των γνωστών "παικτών" (Dharma, Stop κλπ) αλλά και λύσεις μέσα από το NoMoreRansom! Project του οποίου είμαστε μέλη.

Ας τα δούμε αναλυτικά:

Κενό ασφαλείας σε WebLogic Servers, εγκαθιστά Ransomware 

Ένα κενό ασφαλείας στους WebLogic Servers ευθύνεται για την εγκατάσταση ενός νέου Ransomware που ονομάζεται Sodinokibi. 
Είναι απολύτως απαραίτητο οι admins να εγκαταστήσουν τις τελευταίες ενημερώσεις για να κλείσει το εν λόγω κενό ασφαλείας.
ΠΡΟΣΟΧΗ!  

Τα νέα των Ransomware, 1/4/2019

Αν εξαιρέσει κανείς το πιο παρανοϊκό Ransomware που έχουμε δει ποτέ, μοίαζει σαν μια τυπική εβδομάδα:
Δεκάδες νέα στελέχη από ήδη γνωστές οικογένειες έκαναν την εμφάνισή τους το διάστημα που μας πέρασε.
Μοιάζει πολύ τετριμμένο πλέον, αλλά είχαμε Dharma, Scarab, Matrix, STOP, είχαμε και Xorist, είχαμε και τον UNNAM3D που μόλυνε 30.000 Η/Υ σε λίγες μόνο ώρες, είχαμε και ένα ιδιωτικό πάρκινγκ στον Καναδά να παραλύει από χτύπημα Ransomware, απ' όλα είχε ο μπαξές.

Ας τα δούμε αναλυτικά:

Dharma χτυπάει ιδιωτικό πάρκινγκ στον Καναδά, οι πελάτες παρκάρουν δωρεάν

Στις 28/3/19, η CIRA (Canadian Internet Registration Authority), κάτι σαν τη δική μας ΕΕΤΤ, που διαχειρίζεται τα public internet domains (.ca), χτυπήθηκε από Dharma.
O συγκεκριμένος σταθμός ανήκει στην ιδιωτική εταιρία Precise Parklink και μετά το χτύπημα κατέρρευσε το σύστημα ελέγχου και πληρωμών, με αποτέλεσμα να μπαίνει στο χώρο όποιος θέλει και να παρκάρει δωρέαν.

Νέοι STOP

H λαίλαπα STOP συνεχίζει ακάθεκτη.
Μετά τα 42 (!!!!!) νέα στελέχη που είχαμε στο τελευταίο δίμηνο, για την προηγούμενη εβδομάδα είχαμε:
Τον .chech
Tον .luceq
Toν .proden
Τον .drume
Tον .tronas
Τον .trosak
Τον .grovas

Και δύο νέοι Dharma

Τοποθετούν τις επεκτάσεις .bk666 και .stun αντίστοιχα.
Τίποτα το καινούργιο.

Λύση για τον Hacked

Πρόκειται για ένα στέλεχος που είχε κάνει την εμφάνισή του το 2017. Αν και η διανομή του γενικά ήταν ήπια, είχε αρκετά θύματα.
Η Emsisoft κυκλοφόρησε λύση για το συγκεκριμένο στέλεχος.

Να και ένας Ματριξ

Toποθετεί την επέκταση .MDEN ή SDEN. Πρόκειται για το ίδιο στέλεχος.

O BigBobRoss παριστάνει τον STOP

Όπως αναμενόταν μετά την δημοσίευση λύσης για τον BigBobRoss πριν από 10 μέρες, εμφανίστηκαν δύο νέα στελέχη του, για τα οποία προς το παρόν δεν υπάρχει λύση.
Το ένα στέλεχος τοποθετεί την επέκταση .djvu (την οποία χρησιμοποιεί ο STOP) και το άλλο την .encryptedALL.
UPDATE: Πλέον και ο encryptedALL είναι αντιμετωπίσιμος.

Τα νέα των Ransomware, 18/3/19

Εκεί που είχε ηρεμήσει για λίγο, ο STOP επανεμφανίστηκε με 5 6 7 8 διαφορετικά στελέχη, μέσα σε μία εβδομάδα και μάλιστα χρησιμοποιώντας ακόμα πιο επιθετικές τακτικές.

Είχαμε επίσης λύση για τον BigBobRoss (δεν έχουμε δει, πάντως,θύματα στην Ελλάδα ακόμα) και πολλές νέες παραλλαγές από γνωστά στελέχη.
Κάθε φορά που κάποιος μας λέει ότι το Ransomware πέθανε ένα Blockchain κάπου στην Κορέα γελάει ηχηρά. 

Ας τα δούμε αναλυτικά:

O Hermes χτυπάει το Jackson County της Georgia, παίρνει $400.000!

Στις 6/3/2019, ο Hermes με ... ολίγη από Ryuk (επρόκειτο για στέλεχος που ήταν μείγμα των δύο) χτύπησε το Jackson County στην Georgia των ΗΠΑ, γονατίζοντας στην κυριολεξία όλες τις υπηρεσίες της πόλης.
Από σχετική ανακοίνωση, φαίνεται ότι οι υπεύθυνοι αποφάσισαν και πλήρωσαν τα λύτρα, τα οποία ανέρχονται σε $400.000. 

O STOP εγκαθιστά και Trojan με σκοπό την υποκλοπή προσωπικών στοιχείων

Πέρα από τα 10 νέα στελέχη STOP που είχαμε αυτήν την εβδομάδα (βλ. παρακάτω), διαπιστώσαμε ανησυχία ότι ο STOP πλέον εγκαθιστά και τον Azorult, ο οποίος είναι ένα Trojan το οποίο υποκλέπτει από το θύμα προσωπικά στοιχεία, όπως κωδικούς πρόσβασης, ιστορικό περιήγησης, συνομιλίες στο Skype, πορτοφόλια κρυπτονομισμάτων, αρχεία xls και άλλα πολλά.  

Μιας και είναι αδύνατον να γνωρίζουμε από πότε συμβαίνει αυτό, παρακαλούμε όλα τα θύματα του STOP (οποιαδήποτε έκδοση, οποιοδήποτε στέλεχος/οικογένεια) να πάρουν ΑΜΕΣΑ τα παρακάτω μέτρα:

• Αλλαγή ΟΛΩΝ των κωδικών πρόσβασης για όλους τους online λογαριασμούς καθώς και τους κωδικούς του Η/Υ αν υπάρχουν. ΟΛΟΙ οι κωδικοί που αποθηκεύονται από το πρόγραμμα περιήγησης, θα πρέπει να θεωρούνται εκτεθειμένοι.
• Αλλαγή όλων των κωδικών πρόσβασης για λογισμικά όπως το Skype, το Telegram το Steam κλπ.
• Αλλαγή όλων των κωδικών πρόσβασης για τυχόν λογισμικά FTP (Filezilla κλπ).
• Αρχεία με ευαίσθητα προσωπικά δεδομένα που βρίσκονται στην επιφάνεια εργασίας ή αλλού, θα πρέπει να θεωρούνται εκτεθειμένα. Αν υπήρχαν αρχεία που περιλαμβάνουν κωδικούς πρόσβασης, θα πρέπει να αλλαχτούν άμεσα.

Λύση για τον BigBobRoss

Αν και δεν είχαμε αναφορά θυμάτων στην Ελλάδα από τον συγκεκριμένο Ransomware, πλέον υπάρχει λύση. Η Emsisoft ανακοίνωσε την εξεύρεση λύσης και λίγο αργότερα ακολούθησε και η Avast. Το Ransom Note του εν λόγω Ransomware είναι αυτό:

Αν κάποιος έχει μολυνθεί, ας επικοινωνήσει με την Emsisoft ή μαζί μας.

Νέοι STOP

O STOP, που θεωρείται ίσως ο πιο δραστήριος Ransomware των τελευταίων μηνών, με πολλά θύματα και στην Ελλάδα, μας είχε συνηθίσει να εμφανίζει ένα τουλάχιστον νέο στέλεχος ανά εβδομάδα.
Τις προηγούμενες 20 μέρες υπήρχε μια ησυχία, αλλά μάλλον ήταν η ησυχία πριν την καταιγίδα. Την εβδομάδα που μας πέρασε, πλησίασε τα 10 νέα στελέχη.

Με τη σειρά:

Επέκταση .promorad2 με προέλευση / στοχεύει: Βραζιλία.
Επέκταση .kroput ομοίως με από πάνω.
Πρόκειται για την οικογένεια DJVU.

Επέκταση .kroput1, .pulsar1 και .charck, επίσης της οικογένειας DJVU.

Επέκταση .kropun και .klope της οικογένειας ZzZzZ.

Επέκταση .lastrop της οικογένειας Gilette.

Να και ένας Dharma

Toποθετεί την επέκταση .NWA.

Καπάκι και ένας ακόμα, το κακόβουλο έχει  την ομομασία payload.exe και τοποθετεί την επέκταση .azero.

Kαι τρικάπακο, και ένας τρίτος που τοποθετεί την επέκταση .com.

Ο Yatron προμοτάρεται ως RaaS

Ένας νέος RaaS (Ransomware-As-A-Service) προμοτάρεται μέχρι και μέσω Twitter (!) ότι χρησιμοποιεί το EternalBlue της NSA για να διασπείρει τον εαυτό του μέσω δικτύου. Ισχυρίζεται ότι διαγράφει επιτυχώς αρχεία μετά από x χρόνο αν δεν καταβληθούν τα  λύτρα.
Είναι ανησυχητικό, καθώς από ότι είδαμε, κάνει αυτά που υπόσχεται.

Τα νέα των Ransomware, 4/3/2019

Πολλά και διάφορα είχαμε το διάστημα που μεσολάβησε από την προηγούμενη αναφορά μας.
Είχαμε λύση για τον GandCrab, είχαμε έναν Ransomware που στοχεύει servers που τρέχουν Linux/PHP, είχαμε και πάρα πολλά νέα στελέχη.

Ας τα δούμε αναλυτικά:

Νέος Jigsaw - DeltaSEC

Αυτός δεν κρυπτογραφεί καν, καθώς περιέχει προβληματικό base64 string...

Νέος Scarab

Toποθετεί την επέκταση .X3.  

Λύση για τον GandCrab

Στα τέλεια νέα, η λύση για τον GandCrab που δημοσίευσε η BitDefender σε συνεργασία με τη Europol.
Την αμέσως επόμενη μέρα, κυκλοφόρησε νέα έκδοση η οποία προς το παρόν δεν είναι δυνατόν να σπάσει.

Νέος GarrantyDecrypt

Ένα νέο στέλεχος του GarrantyDecrypt εντοπίστηκε, το οποίο παριστάνει ότι προέρχεται από την ομάδα ασφαλείας της ProtonMail.
Επιβεβαιώσαμε ότι πρόκειται για τον GarrantyDecrypt από το "NANI" signature στα κρυπτογραφημένα αρχεία.

Νέος Everbe2 - SEED

Εντοπίστηκε και νέος Everbe2.0 που τοποθετεί την επέκταση .seed.
Ταυτοποιήσαμε ότι πρόκειται για τον Everbe από τα τελευταία 0x200 bytes που έχουν ASCII στο Hex.

Νέα στελέχη

Ο Michael Gillespie εντόπισε:
Τον BlackPink που είναι κορεάτικος

τον BestChangeRu που είναι ρώσικος

τον Crazy Thief 2.1 που είναι μια μίξη του Stupid, του Jigsaw και βασίζεται σε HiddenTear
(thief όνομα και πράγμα δηλαδή). Φυσικά, είναι δυνατόν να αποκρυπτογραφηθεί.

έναν νέο Matrix που τοποθετεί την επέκταση .GBLOCK
και έναν νέο Dharma που τοποθετεί την επέκταση .aqva.

Τα νέα των Ransomware, 18/02/2019

Πάντα χαιρόμαστε όταν βλέπουμε εβδομάδες σαν την προηγούμενη στον τομέα των Ransomware, καθώς δεν είχαμε και πολλά πράγματα.

Το πιο ενδιαφέρον νέο της εβδομάδας ήταν η απόπειρα μόλυνσης MSPs με GandCrab, η οποία απ 'ότι φαίνεται ήταν επιτυχής :(

Κλασικά, νέα στελέχη Dharma, Matrix...

Ας τα δούμε αναλυτικά:

Νέοι Dharma

2 νέα στελέχη και για αυτήν την εβδομάδα, τοποθετούν τις επεκτάσεις .KARLS και .888.
Τίποτα καινούργιο ως συνήθως.

Κόμικ για Ransomware!

O Christian Beek σε συνεργασία με την Hackerstrip δημιούργησε ένα κόμικ για τους Ransomware!
Κοστίζει περίπου 2€ για Kindle και όλα τα έσοδα πηγαίνουν για καλό σκοπό.
Μπορείτε να το βρείτε εδώ. 

Νέοι Matrix

O Michael Gillespie εντόπισε ένα άλλο ένα νέο στέλεχος του Matrix που τοποθετεί την επέκταση .PEDANT. Αργότερα εντοπίστηκε και άλλο στέλεχος που τοποθετεί την επέκταση .PLANT. O Matrix εξακολουθεί να είναι ένας Ransomware για τον οποίο δυστυχώς δεν υπάρχει λύση.

Νέος Ransomware - Encrypted5

Ένα περίεργο στέλεχος ανιχνεύθηκε την Παρασκευή, το οποίο τοποθετεί την επέκταση .Encrypted5. Και είναι περίεργο γιατί μοιάζει να έχει εντοπιστεί μόλις μία επιμόλυνση παγκοσμίως και επομένως δεν έχουμε καθόλου πληροφορίες για το τι είναι και τι κάνει.

Ο GandCrab μολύνει MSPs 

Οι RW developers έχουν αρχίσει να στοχεύουν Managed Service Providers (MSPs) με σκοπό να προκαλέσουν μαζική μόλυνση με μία μόνο επίθεση.
Οι MSPs είναι εταιρίες που διαχειρίζονται απομακρυσμένα την τεχνολογική υποδομή εταιριών (πραγματοποιώντας για παράδειγμα συντήρηση κάποιου δικτύου ή Η/Υ απομακρυσμένα).
Σύμφωνα με δημοσιεύμα, μία μεσαία MSP δέχτηκε επίθεση και περισσότεροι από 80 πελάτες της μολύνθηκαν.

Νέος Ransomware - Snatch

Toποθετεί την επέκταση .jupstb

Τα νέα των Ransomware, 9/2/19

Eνδιαφέρουσα εβδομάδα!

Πρώτον, είχαμε αποκάλυψη στην πράξη για τον τρόπο που επιτήδειοι που παριστάνουν τους ειδήμονες "διαμεσολαβητές", εισπράττουν μερίδιο από τα λύτρα.

Δεύτερον, είχαμε ανησυχητικό κρούσμα στεγανογραφίας, η οποία είναι μέθοδος διασποράς κακόβουλου λογισμικού που είναι σχεδόν αδύνατον να ανιχνευθούν από οποιοδήποτε λογισμικό.

Τέλος, είχαμε κλασικά νέα στελέχη Dharma, Jigsaw και φυσικά STOP, ο οποίος θερίζει για 5η συνεχόμενη εβδομάδα.

Ας τα δούμε αναλυτικά:

Νέοι Dharma

2 νέα στελέχη, τοποθετούν τις επεκτάσεις .amber και .friend.
Τίποτα καινούργιο.

Νέος Jigsaw - LOLSEC

O Michael Gillespie εντόπισε ένα νέο στέλεχος του Jigsaw που τοποθετεί την επέκταση .paycoin. 

Νέος STOP - Blower

Χωρίς πολλές διαφορές με τους προηγούμενους, έχει πολλά θύματα και στην Ελλάδα...

Κι άλλος Jigsaw

Toποθετεί την επέκταση .PENNYWISE. Προσπαθεί να μας πει ότι δεν είναι Jigsaw, ενώ φυσικά και είναι.

Το κλειδί για την αποκρυπτογράφηση είναι PsTqQNhR77oKJXvBWE3YZc. 
Αν έχετε μολυνθεί, χρησιμοποιήστε τον παραπάνω κωδικό για να πάρετε πίσω τα αρχεία σας, και πείτε μας και ένα ευχαριστώ :)

Νέος Ransomware - Crypted Pony

Είναι υπό κατασκευή, τοποθετεί την επέκταση .crypted_pony_test_build_xxx_xxx_xxx_xxx_xxx

Τα νέα των Ransomware, 4/2/2019

Είχαμε πολλές νέες παραλλαγές από ήδη υπάρχοντα στελέχη, αυτήν την εβδομάδα.

Ο STOP συνεχίζει και σαρώνει για 3η συνεχόμενη εβδομάδα.
Θα ακουστεί κοινότυπο, αλλά όταν χρησιμοποιείτε λογισμικά, αγοράστε τα. Εκτός από το ηθικό κομμάτι, υπάρχει σοβαρή πιθανότητα να μολυνθείτε με STOP ή άλλον Ransomware.

Ενδιαφέρον είχε επίσης η επανεμφάνιση του Xorist (!!) με δύο νέα στελέχη.

Ας τα δούμε αναλυτικά:

Νέοι Dharma

3 νέα στελέχη, τοποθετούν τις επεκτάσεις.qwex, .ΕΤΗ και .air.
Τίποτα καινούργιο.

Νέος Ransomware - Anti-Capitalist Fun

Μοιάζει να είναι Jigsaw. Παρά το πολιτικό περιεχόμενο που θα περίμενε κανείς να διαβάσει λόγω της εικόνας, το κείμενο (που είναι στα γαλλικά) δεν έχει τίποτα το πολιτικό.

Νέος Scarab

Τοποθετεί την επέκταση .Crash. Επίσης όχι κάτι το νέο.

Νέοι Xorist

O πρώτος εντοπίστηκε στην αρχή της εβδομάδας από τον Michael Gillespie και τοποθετεί την επέκταση .mbrcodes και ο δεύτερος τοποθετεί την επέκταση .Mcafee! στα κρυπτογραφημένα αρχεία.

ΕΧΟΥΜΕ ΠΟΛΥ ΚΑΛΕΣ ΠΙΘΑΝΟΤΗΤΕΣ ΜΑΖΙ ΤΟΥ. ΑΝ ΕΧΕΤΕ ΜΟΛΥΝΘΕΙ ΕΛΑΤΕ ΣΕ ΕΠΙΚΟΙΝΩΝΙΑ ΜΑΖΙ ΜΑΣ.

Νέος Obfuscated - id

Τοποθετεί την προέκταση [id=] πριν από το όνομα του αρχείου που κρυπτογραφεί.

Τα νέα των Ransomware, 28/1/2019

Δεν έχει σταματημό ο STOP, με δεκάδες θύματα στην Ελλάδα. Δεχόμαστε καθημερινά κλήσεις και μηνύματα σχετικά με αυτόν τον Ransomware και θέλουμε να επαναλάβουμε πώς:
ΕΧΟΥΜΕ ΒΡΕΙ ΛΥΣΗ ΓΙΑ ΤΑ ΣΤΕΛΕΧΗ ΑΥΤΑ, υπό προϋποθέσεις. Συγκεκριμένα, αν ο μολυσμένος Η/Υ δεν έχει επανεκκινηθεί, έχουμε καλές πιθανότητες να τα αποκρυπτογραφήσουμε.
Αν έχει γίνει επανεκκίνηση, τότε ίσως μπορούμε να αποκρυπτογραφήσουμε αρχεία τύπου .doc, .xls και .pdf. Όχι όμως άλλου τύπου αρχεία.

Κατά τ' άλλα, ήταν μια τυπική εβδομάδα με Dharma, Scarab και Matrix και πολλά υπό κατασκευή στελέχη.

Ας τα δούμε αναλυτικά:

Νέοι Dharma

Ο πρώτος εμφανίστηκε την προηγούμενη Δευτέρα και τοποθετεί την επέκταση .AUF.
Δύο μέρες αργότερα, εμφανίστηκαν άλλοι 3. Τοποθετούν τις επεκτάσεις .USA, xwx και .best.

Νέος Matrix

O Michael Gillespie εντόπισε ένα νέο στέλεχος του Matrix που τοποθετεί την επέκταση .GMBN.
Την επόμενη, εντοπίστηκε και άλλο ένα στέλεχος που τοποθετεί την επέκταση .SPCT.

Ανησυχία με τον Anatova

Αυτός έχει κάνει εντύπωση και έχει προκαλέσει ανησυχία, μιας και έχει δυνατότητα υποστήριξης modules τα οποία θα μπορούσαν να τον κάνουν "ελβετικό σουγιά" για τους malware developers. Θα επανέλθουμε εντός των ημερών με νέο άρθρο για τον τρόπο λειτουργίας του αναλυτικά.

Νέος Ransomware - JSWorm

Τοποθετεί την επέκταση .JSWorm. Ο δημιουργός του δεν έχει προβλέψει στον κώδικα το ενδεχόμενο να μην μπορεί να φύγει το email που του στέλνει, με αποτέλεσμα αν η αποστολή αποτύχει, η αποκρυπτογράφηση θα είναι αδύνατη από τον ίδιο, αφού δεν θα έχει το κλειδί :s

Απ΄ ότι είδαμε, έχουμε πολλές πιθανότητες αποκρυπτογράφησης.

Νέος Xorist που στέλνει SMS!

Τοποθετεί την επέκταση .vaca. Απ' ότι φαίνεται στον κώδικα, έχει ενσωματωμένη δυνατότητα να στέλνει SMS με το κλειδί σε έναν συγκεκριμένο αριθμό.

Τα νέα των Ransomware, 7/1/2019

Καλή χρονιά σε όλους!

Στο προηγούμενο διάστημα, είχαμε πολλά και διάφορα στον τομέα των Ransomware.
Θα μας επιτρέψετε, όμως, να ξεχωρίσουμε και να βάλουμε ως σημαντικότερη είδηση τη συμφωνία συνεργασίας της εταιρίας μας με το NoMoreRansom project (www.nomoreransom.org).

Αποτελεί επιβράβευση των προσπαθειών μας τόσων ετών στην καταπολέμηση των Ransomware και είμαστε ιδιαίτερα περήφανοι για αυτή μας τη συμφωνία.

Πέρα από αυτό, είχαμε πολλά και διάφορα νέα, καινούργια στελέχη, αποκρυπτογραφήσεις...

Ας τα δούμε αναλυτικά:

Χάος με τον Ryuk

Eπιτέθηκε σε δύο εκδοτικές εταιρίες εφημερίδων των ΗΠΑ, οι οποίες αναγκάστηκαν να αναστείλουν την κυκλοφορία των εκδόσεών τους.
Πρόκειται για τις εκδοτικές LA Times και την Tribune Publishing και οι εφημερίδες που επηρεάστηκαν είναι οι Wall Street Journal, New York Times, Los Angeles Times, Chicago Tribune, Baltimore Sun, Lake County News-Sun, Post-Tribune, Hartford Courant, Capital Gazette και Carroll County Times.

Το θέμα πήρε μεγάλες διαστάσεις.

Πάντως, απ' ότι φαίνεται η επιχείρηση ήταν κερδοφόρα, αφού σε ένα τρίμηνο μόνο, οι δημιουργοί του Ryuk κέρδισαν περίπου 400 Bitcoin...

Θυμίζουμε ότι ο Ryuk επιτίθεται μέσω phising σε συγκεκριμένους στόχους, ενώ έχουν αναφερθεί επιθέσεις του και μέσω εκτεθειμένων RDP.

Στοχευμένες επιθέσεις με τον Target777

To πρωτότυπο με αυτόν είναι ότι εκτός από το γεγονός ότι οι επιθέσεις είναι απολύτως στοχευμένες προς συγκεκριμένους στόχους, μοιάζει να σχεδιάζονται κάθε φορά για τους στόχους αυτούς, αφού χρησιμοποιούν το όνομα του στόχου στα Ransom Notes, στις επεκτάσεις των αρχείων κλπ!

Νέος Ransomware - BooM / hack Facebook 2019

Αυτός είναι Xorist.
Μόλις τρέξει δεν κάνει τίποτα αρχικά και μετά από λίγο εμφανίζει αυτό:

και αυτό

το Pin είναι: 47848486454474431000546876341354
και το Password είναι: M95r2jRwkP87rnWt1p281X1u

Πείτε μας και ένα ευχαριστώ!!

Νέος LockCrypt

Tοποθετεί την επέκταση id-.LyaS και έχει ένα άθλιο χρωματικό που δυσκολεύεσαι να διαβάσεις τι γράφουν.

Ο Junglesec μολύνει αδιακρίτως Servers μέσω IPMI

Aπό τα μέσα Νοεμβρίου, έχει ξεκινήσει μία εκστρατεία επιμόλυνσης Servers με τον Junglesec Ransomware, ο οποίος εκμεταλλεύεται κενά ασφαλείας του IPMI (Intelligent Platform Management Interface - https://en.wikipedia.org/wiki/Intelligent_Platform_Management_Interface).
Έχουν αναφερθεί θύματα Linux, Windows, μέχρι και MacOS.

Τα νέα των Ransomware, 17/12/2018

Παραδοσιακά, οι μέρες πριν από τα Χριστούγεννα είναι πάντα πιο ήσυχες στον τομέα των Ransomware, πιθανώς λόγω του γεγονότος ότι πολύς κόσμος μετακινείται για τις γιορτές και πολλές εταιρίες υπολειτουργούν.

Είχαμε νέα στελέχη Dharma και Scarab κλασικά, ενώ είχαμε και ανησυχητική εξέλιξη στον τομέα του Sextortion.

Ας τα δούμε αναλυτικά:

Sextortion tactics

Ανησυχητικές διαστάσεις παίρνει η τακτική του sextortion, μέσω τις οποίας οι κυβερνο-εκβιαστές αποκομίζουν μεγάλα χρηματικά ποσά.

Τι είναι το sextortion?

Το υποψήφιο θύμα λαμβάνει ένα email στο οποίο αναφέρεται ότι έχει πιαστεί επαυτοφόρω να παρακολουθεί ιστοσελίδες με πορνογραφικό περιεχόμενο (μερικές φορές αναφέρουν και παιδική πορνογραφία). Γίνεται λόγος για χρήση της κάμερας του Η/Υ του θύματος, μέσω της οποίας έχουν αποδεικτικά της ... "δράσης" του θύματος και απειλούν να δημοσιεύσουν φωτογραφίες του σε προσωπικές στιγμές την ώρα που παρακολουθούν το πορνογραφικό περιεχόμενο.
Φυσικά, τίποτα από αυτά δεν υφίσταται.

Τον τελευταίο καιρό έχει εξελιχθεί η τακτική τους και έχει γίνει εξυπνότερη. 
Στοχεύουν σε θύματα των οποίων το email και ο κωδικός του έχουν διαρρεύσει και αποστέλλουν το παρακάτω email.

To κείμενο είναι το εξής:

Hello!

I have very bad news for you.
09/08/2018 - On this day, I got access to your OS and gained complete control over your system. **@gmail.com
On this day your account **@gmail.com has password: XXXX

How I made it:

In the software of the router, through which you went online, was avulnerability.
I just got into the router and got root rights and put my malicious code on it. 
When you went online, my trojan was installed on the OS of your device.

After that, I made a full dump of your (I have all your address book, history of viewing sites, all files, phone numbers and addresses of all your contacts).

A month ago, I wanted to your device and ask for a not big amount of btc to unlock.
But I looked at the sites that you regularly visit, and I was shocked by what I saw!!!
I'm talk you about sites for adults.

I want to say - you are a BIG pervert. Your fantasy is shifted far away from the nromal course!

And i got an idea....
I made a screenshot of the adult sites where you have fun (do you understand what it is about, huh?).
After that, I made a screenshot of your joys (using the camera of your device) and glued them together.
Turned out amazing! You are so spectacular!

As proof of my words, I made a video presentation in Power Point.
And laid out in a private cloud, look You can copy the link below and paste it into the browser.

https://google.com/url?Q=[url here]

I'm know that you would like to show these screenshots to your friends, relatives or colleagues.
I think #381 is a very, very small amount for my silence.
Besides, I have been spying on your for so long, having spect a lot of time!

Πολλά, λοιπόν, από τα θύματα θα προσπαθήσουν να κατεβάσουν το βίντεο που αποτελεί "απόδειξη" των πράξεών τους, με αποτέλεσμα να επιμολυνθούν με δύο διαφορετικά κακόβουλα λογισμικά:

Αρχικά με τον Azorult, μέσω του οποίου -πραγματικά αυτή τη φορά- αποσπούν προσωπικά στοιχεία όπως συνθηματικά πρόσβασης, ιστορικά συνομιλιών κλπ,
και στη συνέχεια επιμολύνονται με GandCrab και κρυπτογραφούνται τα δεδομένα τους.

Άλλη μία απόδειξη ότι πρέπει να δείχνουμε μεγάλη προσοχή σε ποια λινκ πατάμε!

Νέος GlobeImposter - EQ

Toποθετεί την επέκταση .fuck. Όχι κάτι παραπάνω καινούργιο.

Νέος Gerber 

Mετά τους Gerber1, 3 & 5 που αναφέραμε την προηγούμενη εβδομάδα, είχαμε άλλον έναν αυτήν την εβδομάδα με τον .FJ7QvaR9VUmi

Νέος Dharma - Santa

Στο κλίμα των ημερών, νέος Dharma με επέκταση .santa. Τίποτα απολύτως το καινούργιο.