MIRROR Ransomware

Μετά από ενδελεχή ανάλυση πιθανών απειλών κακόβουλου λογισμικού, οι ερευνητές εντόπισαν οριστικά το MIRROR ως παραλλαγή ransomware. Ο πρωταρχικός στόχος της απειλής MIRROR είναι η κρυπτογράφηση αρχείων που υπάρχουν σε παραβιασμένες συσκευές. Επιπλέον, αναλαμβάνει τη μετονομασία αρχείων και εκδίδει δύο σημειώσεις λύτρων — το ένα με τη μορφή αναδυόμενου παραθύρου και το άλλο ως αρχείο κειμένου με το όνομα «info-MIRROR.txt».

Το MIRROR Ransomware χρησιμοποιεί μια συγκεκριμένη σύμβαση ονομασίας για αρχεία που κρυπτογραφεί, προσαρτώντας το αναγνωριστικό του θύματος, τη διεύθυνση email «tpyrcedrorrim@tuta.io» και την επέκταση «.Mr». Για παράδειγμα, μετατρέπει το "1.pdf" σε "1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr" και το "2.png" γίνεται "2.png.id-9ECFA74E.[tpyrcedrorrim@ tuta.io].Κύριε», και ούτω καθεξής. Αυτή η συγκεκριμένη απειλή έχει κατηγοριοποιηθεί ως παραλλαγή της οικογένειας Dharma Ransomware .

Το MIRROR Ransomware πηγαίνει πέρα από την κρυπτογράφηση αρχείων

Εκτός από την κρυπτογράφηση αρχείων, το MIRROR χρησιμοποιεί στρατηγικά μέτρα για να διακυβεύσει περαιτέρω την ασφάλεια του στοχευμένου συστήματος. Μια τέτοια τακτική περιλαμβάνει την απενεργοποίηση του τείχους προστασίας, αυξάνοντας έτσι την ευπάθεια του συστήματος στις κακόβουλες δραστηριότητες που ενορχηστρώνονται από το ransomware. Επιπλέον, το MIRROR λαμβάνει σκόπιμες ενέργειες για τη διαγραφή των αντιγράφων τόμου σκιάς, εξαλείφοντας αποτελεσματικά πιθανά σημεία επαναφοράς και παρεμποδίζοντας τις προσπάθειες ανάκτησης.

Το MIRROR αξιοποιεί τις ευπάθειες στις υπηρεσίες Πρωτοκόλλου Απομακρυσμένης Επιφάνειας εργασίας (RDP) ως κύριο φορέα μόλυνσης. Αυτό συνήθως περιλαμβάνει την εκμετάλλευση αδύναμων διαπιστευτηρίων λογαριασμού μέσω μεθόδων όπως η ωμή βία και οι επιθέσεις λεξικών. Αξιοποιώντας αυτές τις τεχνικές, το ransomware αποκτά μη εξουσιοδοτημένη πρόσβαση σε συστήματα, ιδιαίτερα σε αυτά με ανεπαρκή διαχείριση της ασφάλειας λογαριασμού.

Επιπλέον, το MIRROR παρουσιάζει τη δυνατότητα εξαγωγής δεδομένων τοποθεσίας, επιτρέποντάς του να διακρίνει το γεωγραφικό πλαίσιο των μολυσμένων συστημάτων. Συγκεκριμένα, διαθέτει τη δυνατότητα να εξαιρεί προκαθορισμένες τοποθεσίες από το πεδίο εξαγωγής δεδομένων. Επιπλέον, το MIRROR ενσωματώνει μηχανισμούς επιμονής, διασφαλίζοντας ότι μπορεί να διατηρήσει μια θέση στο παραβιασμένο σύστημα για μεγάλο χρονικό διάστημα.

Τα θύματα του MIRROR Ransomware εκβιάζονται για χρήματα

Το σημείωμα λύτρων του MIRROR Ransomware χρησιμεύει ως επικοινωνία από τους εισβολείς προς το θύμα, δηλώνοντας ρητά ότι όλα τα αρχεία του θύματος έχουν υποστεί κρυπτογράφηση. Περιγράφει μια πιθανή οδό για την αποκατάσταση αρχείων, καθοδηγώντας το θύμα να ξεκινήσει την επαφή μέσω μιας καθορισμένης διεύθυνσης ηλεκτρονικού ταχυδρομείου (tpyrcedrorrim@tuta.io) και παρέχοντας ένα μοναδικό αναγνωριστικό.

Ως εναλλακτικό μέσο επικοινωνίας, το σημείωμα παρέχει επίσης μια άλλη διεύθυνση ηλεκτρονικού ταχυδρομείου (mirrorrorrim@cock.li). Συγκεκριμένα, το σημείωμα αποθαρρύνει έντονα τη χρήση διαμεσολαβητών για επικοινωνία, αναφέροντας πιθανούς κινδύνους όπως υπερχρέωση, αδικαιολόγητη χρέωση και απόρριψη συναλλαγής. Οι εισβολείς επιβεβαιώνουν την ικανότητά τους να παρέχουν κρυπτογραφημένες υπηρεσίες ανάκτησης δεδομένων και προσφέρουν εγγυήσεις, συμπεριλαμβανομένης μιας επίδειξης ανάκτησης που περιλαμβάνει έως και τρία αρχεία για να τεκμηριωθεί η επάρκειά τους.

Επιπλέον, το σημείωμα λύτρων παρέχει μια προειδοποιητική συμβουλή προς το θύμα, συμβουλεύοντας ρητά να μην μετονομάσει κρυπτογραφημένα αρχεία. Προειδοποιεί επίσης για απόπειρες αποκρυπτογράφησης μέσω λογισμικού τρίτων, δίνοντας έμφαση στις πιθανές συνέπειες της μόνιμης απώλειας δεδομένων ή της ευαισθησίας σε απάτες. Ο στόχος είναι να καθοδηγηθεί το θύμα στην ασφαλέστερη πορεία δράσης για να μεγιστοποιηθούν οι πιθανότητες επιτυχούς ανάκτησης αρχείων, ελαχιστοποιώντας ταυτόχρονα τους πιθανούς κινδύνους.

Λάβετε μέτρα για την ενίσχυση των συσκευών σας έναντι λοιμώξεων από λογισμικό Ransomware

Το Ransomware αποτελεί σημαντική απειλή για την ασφάλεια των ψηφιακών συσκευών, με πιθανές συνέπειες που κυμαίνονται από απώλεια δεδομένων έως οικονομικούς εκβιασμούς. Η εφαρμογή προληπτικών μέτρων είναι ζωτικής σημασίας για την ενίσχυση των συσκευών έναντι τέτοιων λοιμώξεων. Ακολουθούν πέντε αποτελεσματικά βήματα που μπορούν να κάνουν οι χρήστες:

• Τακτική ενημέρωση λειτουργικών συστημάτων και λογισμικού : Η διατήρηση ενημερωμένων λειτουργικών συστημάτων και λογισμικού είναι ζωτικής σημασίας, καθώς οι ενημερώσεις συχνά περιλαμβάνουν ενημερώσεις κώδικα ασφαλείας που αντιμετωπίζουν ευπάθειες. Ελέγχετε τακτικά και εφαρμόζετε ενημερώσεις για να μειώσετε τον κίνδυνο εκμετάλλευσης γνωστών αδυναμιών ransomware.
• Εγκατάσταση και συντήρηση λογισμικού ασφαλείας : Η χρήση αξιόπιστου λογισμικού ασφαλείας παρέχει ένα επιπλέον επίπεδο άμυνας έναντι ransomware. Βεβαιωθείτε ότι το πρόγραμμα προστασίας από κακόβουλο λογισμικό ενημερώνεται τακτικά και πραγματοποιήστε προγραμματισμένες σαρώσεις για τον εντοπισμό και την εξάλειψη πιθανών απειλών προτού θέσουν σε κίνδυνο τη συσκευή σας.
• Να είστε προσεκτικοί με τα συνημμένα και τους συνδέσμους ηλεκτρονικού ταχυδρομείου : Το Ransomware συχνά διεισδύει σε συστήματα μέσω μηνυμάτων ηλεκτρονικού ψαρέματος που περιέχουν κακόβουλα συνημμένα ή συνδέσμους. Να είστε πολύ προσεκτικοί όταν ανοίγετε μηνύματα ηλεκτρονικού ταχυδρομείου από άγνωστους αποστολείς, προσπαθήστε να μην κάνετε κλικ σε ύποπτους συνδέσμους και αποφύγετε τη λήψη συνημμένων εκτός εάν επαληθευτεί η νομιμότητά τους.
• Δημιουργία αντιγράφων ασφαλείας δεδομένων τακτικά : Η δημιουργία τακτικών αντιγράφων ασφαλείας βασικών δεδομένων είναι ένα κρίσιμο προληπτικό μέτρο. Σε μια επίθεση ransomware, τα πρόσφατα αντίγραφα ασφαλείας επιτρέπουν στους χρήστες να επαναφέρουν τα αρχεία τους χωρίς να υποκύψουν σε εκβιασμό. Αποθηκεύστε αντίγραφα ασφαλείας σε μια εξωτερική συσκευή ή σε μια ασφαλή υπηρεσία cloud.
• Εφαρμογή μέτρων ασφαλείας δικτύου : Η ενίσχυση της ασφάλειας του δικτύου μπορεί να αποτρέψει επιθέσεις ransomware. Χρησιμοποιήστε τείχη προστασίας και συστήματα ανίχνευσης/πρόληψης εισβολών, χρησιμοποιήστε μοναδικούς και ισχυρούς κωδικούς πρόσβασης για όλες τις συσκευές και λογαριασμούς και εξετάστε το ενδεχόμενο τμηματοποίησης δικτύων για να περιορίσετε τον πιθανό αντίκτυπο μιας μόλυνσης σε ολόκληρο το σύστημα.

Με την υιοθέτηση αυτών των μέτρων, οι χρήστες μπορούν να ενισχύσουν σημαντικά την ανθεκτικότητα των συσκευών τους έναντι ransomware, προστατεύοντας τα πολύτιμα δεδομένα τους και διατηρώντας την ακεραιότητα του ψηφιακού τους περιβάλλοντος.

Το πλήρες κείμενο του κύριου σημειώματος λύτρων που άφησε το MIRROR Ransomware είναι:

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

Το αρχείο κειμένου που απορρίφθηκε από το MIRROR Ransomware περιέχει το ακόλουθο μήνυμα:

'Όλα τα δεδομένα σας έχουν κλειδωθεί

Θέλετε να επιστρέψετε;

γράψτε email tpyrcedrorrim@tuta.io ή mirrorrrorrim@cock.li'