Ransomware MIRROR

Després d'analitzar a fons les possibles amenaces de programari maliciós, els investigadors han identificat de manera concloent MIRROR com una variant de ransomware. L'objectiu principal de l'amenaça MIRROR és xifrar els fitxers presents als dispositius compromesos. A més, es compromet a canviar el nom dels fitxers i emet dues notes de rescat: una en forma de finestra emergent i l'altra com a fitxer de text anomenat "info-MIRROR.txt".

El MIRROR Ransomware utilitza una convenció de nomenclatura específica per als fitxers que xifra, afegint l'identificador de la víctima, l'adreça de correu electrònic "tpyrcedrorrim@tuta.io" i l'extensió ".Mr". Per exemple, transforma "1.pdf" en "1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr", i "2.png" es converteix en "2.png.id-9ECFA74E.[tpyrcedrocrim@". tuta.io].Mr,' i així successivament. Aquesta amenaça particular s'ha classificat com una variant dins de la família Dharma Ransomware .

El MIRROR Ransomware va més enllà del xifratge de fitxers

A més de xifrar fitxers, MIRROR utilitza mesures estratègiques per comprometre encara més la seguretat del sistema objectiu. Una d'aquestes tàctiques consisteix a desactivar el tallafoc, augmentant així la vulnerabilitat del sistema a les activitats malicioses orquestades pel ransomware. A més, MIRROR fa accions deliberades per esborrar les còpies del volum d'ombra, eliminant de manera efectiva els possibles punts de restauració i dificultant els esforços de recuperació.

MIRROR aprofita les vulnerabilitats dels serveis de protocol d'escriptori remot (RDP) com a vector primari d'infecció. Normalment, això implica l'explotació de credencials febles del compte mitjançant mètodes com la força bruta i els atacs de diccionari. Aprofitant aquestes tècniques, el ransomware obté accés no autoritzat als sistemes, especialment aquells amb una seguretat del compte inadequada.

A més, MIRROR mostra la capacitat d'extreure dades d'ubicació, cosa que li permet discernir el context geogràfic dels sistemes infectats. En particular, té la capacitat d'excloure ubicacions predeterminades del seu abast d'extracció de dades. A més, MIRROR incorpora mecanismes de persistència, que garanteixen que pot mantenir un punt de peu dins del sistema compromès durant un període prolongat.

Les víctimes del ransomware MIRROR són extorsionades per diners

La nota de rescat del MIRROR Ransomware serveix com a comunicació dels atacants a la víctima, indicant explícitament que tots els fitxers de la víctima han estat xifrats. Destaca una via potencial per a la restauració del fitxer, indicant a la víctima que iniciï el contacte mitjançant una adreça de correu electrònic especificada (tpyrcedrocrim@tuta.io) i proporciona un identificador únic.

Com a mitjà de comunicació alternatiu, la nota també proporciona una altra adreça de correu electrònic (mirrorrorrim@cock.li). En particular, la nota desaconsella fermament l'ús d'intermediaris per a la comunicació, citant riscos potencials com ara el sobrecàrrec, el dèbit injustificat i el rebuig de transaccions. Els atacants afirmen la seva capacitat per oferir serveis de recuperació de dades xifrades i oferir garanties, inclosa una demostració de recuperació que inclogui fins a tres fitxers per demostrar la seva competència.

A més, la nota de rescat emet una advertència a la víctima, aconsellant explícitament que no canvieu el nom dels fitxers xifrats. També adverteix contra els intents de desxifrat mitjançant programari de tercers, posant èmfasi en les possibles conseqüències de la pèrdua permanent de dades o la susceptibilitat a les estafes. La intenció és guiar a la víctima pel curs d'acció més segur per maximitzar les possibilitats de recuperació d'arxius amb èxit alhora que es minimitzen els riscos potencials.

Preneu mesures per enfortir els vostres dispositius contra infeccions de ransomware

El ransomware suposa una amenaça important per a la seguretat dels dispositius digitals, amb possibles conseqüències que van des de la pèrdua de dades fins a l'extorsió financera. La implementació de mesures proactives és crucial per enfortir els dispositius contra aquestes infeccions. Aquests són cinc passos efectius que els usuaris poden fer:

• Actualitzar regularment els sistemes operatius i el programari : mantenir els sistemes operatius i el programari actualitzats és vital, ja que les actualitzacions sovint inclouen pedaços de seguretat que solucionen les vulnerabilitats. Comproveu i apliqueu actualitzacions periòdicament per reduir el risc que el ransomware exploti les debilitats conegudes.
• Instal·lar i mantenir el programari de seguretat : l'ús de programari de seguretat fiable ofereix una capa addicional de defensa contra el ransomware. Assegureu-vos que el programa anti-programari maliciós s'actualitzi regularment i realitzeu exploracions programades per detectar i eliminar possibles amenaces abans que puguin comprometre el vostre dispositiu.
• Aneu amb compte amb els fitxers adjunts i els enllaços de correu electrònic : el ransomware sovint s'infiltra en els sistemes mitjançant correus electrònics de pesca que contenen fitxers adjunts o enllaços maliciosos. Tingueu molta precaució quan obriu correus electrònics de remitents desconeguts, intenteu no fer clic en enllaços sospitosos i absteniu-vos de descarregar fitxers adjunts tret que es verifiqui la seva legitimitat.
• Còpia de seguretat de dades amb regularitat : crear còpies de seguretat periòdiques de dades essencials és una mesura preventiva crítica. En un atac de ransomware, les còpies de seguretat recents permeten als usuaris restaurar els seus fitxers sense sucumbir a l'extorsió. Emmagatzema les còpies de seguretat en un dispositiu extern o en un servei de núvol segur.
• Implementar mesures de seguretat de la xarxa : l'enfortiment de la seguretat de la xarxa pot frustrar els atacs de ransomware. Utilitzeu tallafocs i sistemes de detecció/prevenció d'intrusions, utilitzeu contrasenyes úniques i fortes per a tots els dispositius i comptes i considereu la segmentació de xarxes per limitar l'impacte potencial d'una infecció a tot el sistema.

Mitjançant l'adopció d'aquestes mesures, els usuaris poden millorar significativament la resistència dels seus dispositius contra el ransomware, salvaguardant les seves dades valuoses i mantenint la integritat del seu entorn digital.

El text complet de la nota de rescat principal deixada pel MIRROR Ransomware és:

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

El fitxer de text deixat caure pel MIRROR Ransomware conté el missatge següent:

'Totes les teves dades ens han bloquejat

Vols tornar?

escriu un correu electrònic tpyrcedrocrim@tuta.io o mirrorrorrim@cock.li'