FORCE Ransomware

Under en undersøgelse af potentielle malware-trusler afslørede forskere FORCE Ransomware. Når den først infiltrerer en enhed, starter FORCE kryptering på tværs af forskellige filtyper, der omfatter billeder, dokumenter, regneark og mere. Angribernes mål er at holde de krypterede data som gidsler og tvinge de berørte ofre til at betale for dekryptering. For at identificere ofre og etablere kommunikation tilføjer ransomware unikke identifikatorer, cyberkriminelles e-mailadresser og en '.FORCE'-udvidelse til filnavnene på krypterede filer. For eksempel vil en fil med navnet '1.png' blive transformeret til '1.png.id[9ECFA74E-3545].[data199@mailum.com].FORCE.'

Efter afslutningen af krypteringsprocessen viser systemet identiske løsesumsedler i to formater: et pop-up vindue ('info.hta') og en tekstfil ('info.txt'). Disse meddelelser vises på skrivebordet og i alle mapper, der indeholder krypterede filer. Yderligere analyse afslørede, at FORCE tilhører Phobos Ransomware -familien.

FORCE Ransomware afpresser ofre for penge

Løsesedlerne udstedt af FORCE understreger, at ofrets filer er blevet krypteret, og at følsomme data er blevet kompromitteret. For angiveligt at få adgang til deres filer igen, bliver offeret instrueret i at betale en løsesum ved kun at bruge Bitcoin-kryptovalutaen. Manglende overholdelse af de anførte krav vil resultere i salg af de stjålne oplysninger. Før der foretages nogen betalinger, får offeret mulighed for at teste dekrypteringsprocessen gratis, dog med visse begrænsninger.

Meddelelserne advarer mod at ændre de krypterede filer eller bruge gendannelsesværktøjer fra tredjepart, da sådanne handlinger kan gøre dataene uigenkaldelige. Derudover advares offeret om, at det kan eskalere deres økonomiske tab at søge hjælp fra tredjeparter.

FORCE Ransomware træffer foranstaltninger for at forhindre nem gendannelse af låste data

Dette truende program, en del af Phobos Ransomware-familien, er kendt for sin metodiske tilgang til kryptering. I modsætning til nogle ransomware-varianter, der gør inficerede maskiner fuldstændig ubrugelige, målretter Phobos-malwaren selektivt filer til kryptering og undgår kritiske systemfiler for at sikre, at systemet forbliver funktionelt. Det krypterer både lokalt lagrede filer og dem, der deles over netværk, og afslutter processer forbundet med åbne filer for at forhindre undtagelser baseret på filer, der er 'i brug', såsom databaseprogrammer eller tekstfillæsere.

For at forhindre dobbeltkryptering vedligeholder Phobos Ransomware en ekskluderingsliste over populære ransomware-programmer. Filer, der allerede er låst af software på denne liste, forbliver upåvirket. Derudover sletter Phobos Shadow Volume Copies, en almindelig gendannelsesmulighed, for yderligere at forhindre forsøg på datagendannelse.

For at sikre persistens på de brudte enheder kopierer malwaren sig selv til %LOCALAPPDATA%-stien og registreres med specifikke Run-nøgler, hvilket sikrer, at den automatisk starter med hver systemgenstart. Interessant nok kan Phobos ransomware afstå fra at angribe enheder baseret på deres geolokalisering, især dem i økonomisk svage regioner eller geopolitisk tilpassede lande.

Dekryptering af data låst af ransomware uden indblanding fra cyberkriminelle er typisk umuligt. Selvom ofrene overholder krav om løsesum, er der ingen garanti for, at de vil modtage de lovede dekrypteringsnøgler eller software. Derfor garanterer betaling af løsesum ikke kun datagendannelse, men opretholder også ulovlige aktiviteter.

Selvom fjernelse af ransomware fra operativsystemet forhindrer yderligere kryptering, gendanner det ikke kompromitterede filer. Den eneste pålidelige løsning er at gendanne filer fra en sikkerhedskopi, hvis en sådan er tilgængelig.

Tag ikke chancer med sikkerheden af dine enheder og data

Brugere kan forbedre forsvaret af deres data og enheder mod ransomware-trusler ved at implementere en flerlags tilgang til cybersikkerhed. Her er nogle effektive strategier:

• Hold software opdateret : Opdater regelmæssigt operativsystemer, softwareapplikationer og antivirusprogrammer for at rette sikkerhedssårbarheder og beskytte mod kendte udnyttelser. Aktiver automatiske opdateringer, når det er muligt.
• Installer pålidelig sikkerhedssoftware : Brug anerkendt anti-malware-software til at opdage og fjerne ransomware og andre skadelige trusler. Sørg for, at antivirussoftwaren opdateres ofte for at genkende de seneste trusler.
• Udvis årvågenhed med e-mailvedhæftede filer og links : Vær på vagt over for mistænkelige e-mails, især dem fra ukendte afsendere eller indeholder uventede vedhæftede filer eller links. Prøv ikke at få adgang til links eller downloade vedhæftede filer fra uopfordrede e-mails, da de kan indeholde ransomware eller anden malware.
• Sikkerhedskopier data regelmæssigt : Opsæt en robust backup-strategi ved regelmæssigt at sikkerhedskopiere vigtige data til en ekstern harddisk, cloud-lagringstjeneste eller netværkstilsluttet lagerenhed (NAS). Sørg for, at sikkerhedskopier opbevares sikkert og ikke er direkte tilgængelige fra det primære system for at forhindre dem i at blive krypteret med ransomware.
• Brug stærke, unikke adgangskoder : Opret stærke, komplekse adgangskoder til alle konti, og brug ikke den samme adgangskode på tværs af flere konti. Overvej muligheden for at bruge en velrenommeret adgangskodeadministrator til at generere og gemme adgangskoder sikkert.
• Aktiver to-faktor-godkendelse (2FA) : Aktiver to-faktor-godkendelse for at maksimere sikkerheden på dine konti. 2FA kræver, at brugere inkluderer en anden form for bekræftelse, såsom deres adgangskode eller en kode sendt til deres mobile enhed.

Ved at vedtage disse proaktive foranstaltninger kan brugere mindske mulighederne for at blive ofre for ransomware-angreb og bedre beskytte deres data og enheder betydeligt.

Løsesedlen, der blev droppet af FORCE Ransomware er:

'Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.'