R3tr0 Ransomware
En ny variant, der tilhører Dharma ransomware- familien, bliver brugt af cyberkriminelle til at låse deres ofres data. Truslen spores som R3tr0 Ransomware, men kan også stødes på som RETRO-KRYPTET. Malwaren er udstyret med en krypteringsrutine, der ikke kan knækkes, og som kan påvirke alle ofrets vigtige filer – databaser, arkiver, dokumenter, billeder osv.
Hver krypteret fil vil også få sit navn ændret drastisk. Truslen vil først tilføje en ID-streng, der er specifik for det bestemte offer. Det vil følge med en e-mailadresse under kontrol af angriberne - 'r3tr0crypt@tuta.io,' i dette tilfælde. Endelig vil de låste filer have '.r3tr0' tilføjet som en ny filtypenavn. Som det er typisk for en Dharma-baseret trussel, vil R3tr0 Ransomware slippe to løsesumsedler på de brudte enheder som en 'Info.hta'- og 'info.txt'-filer.
Tekstfilen vil indeholde en afkortet version af løsesumsedlen, hvor brugere blot bliver henvist til at kontakte angribernes to e-mailadresser. Det fulde sæt instruktioner findes i pop op-vinduet, der er genereret fra .hta-filen. Her gentog trusselsaktørerne igen deres e-mails på 'r3tr0crypt@tuta.io' og 'r3tr0crypt@msgsafe.io.' De advarer også deres ofre om, at omdøbning eller forsøg på at dekryptere dataene med tredjepartsværktøjer kan permanent beskadige dataene og gøre filerne uoprettelige.
Den fulde tekst af den løsesumskrævende besked er:
RETROKRYPTERET
r3tr0
Bare rolig, du kan returnere alle dine filer!
Hvis du vil gendanne dem, så skriv til mailen: r3tr0crypt@tuta.io DIT ID -
Hvis du ikke har svaret på mail inden for 12 timer, så skriv til os på en anden mail:r3tr0crypt@msgsafe.io
OPMÆRKSOMHED!
Vi anbefaler, at du kontakter os direkte for at undgå overbetalende agenter
Omdøb ikke krypterede filer.
Forsøg ikke at dekryptere dine data ved hjælp af tredjepartssoftware, det kan forårsage permanent datatab.
Dekryptering af dine filer med hjælp fra tredjeparter kan medføre øget pris (de tilføjer deres gebyr til vores), eller du kan blive offer for en fidus.
Instruktionerne i tekstfilen er:
alle dine data er blevet låst os
Vil du tilbage?
skriv e-mail r3tr0crypt@tuta.io eller r3tr0crypt@msgsafe.io
