RA Group Ransomware

Το RA Group Ransomware στοχεύει οργανισμούς κρυπτογραφώντας σημαντικό όγκο βασικών δεδομένων. Η απειλή τροποποιεί επίσης τα αρχικά ονόματα των επηρεαζόμενων αρχείων. Κάθε επίθεση που πραγματοποιείται από την ομάδα RA μπορεί να περιλαμβάνει μια μοναδική σημείωση λύτρων, που συνήθως ονομάζεται "Πώς να επαναφέρετε τα αρχεία σας. txt", η οποία είναι πιθανό να έχει δημιουργηθεί ειδικά για την εταιρεία ή τον οργανισμό που στοχεύετε. Ομοίως, η Ομάδα RA μπορεί επίσης να προσαρτήσει μια διαφορετική επέκταση στα ονόματα αρχείων των κρυπτογραφημένων αρχείων για κάθε διαφορετικό θύμα.

Σε μια επιβεβαιωμένη περίπτωση, το RA Group Ransomware πρόσθεσε την επέκταση '.GAGUP' στα κρυπτογραφημένα αρχεία. Συγκεκριμένα, η απειλή του Ομίλου RA είναι γνωστή για τη χρήση μιας διαδικασίας κρυπτογράφησης που βασίζεται στον πηγαίο κώδικα της διαβόητης απειλής Babuk Ransomware που διέρρευσε. Το Babuk, μια επιχείρηση ransomware που σταμάτησε τις δραστηριότητές της το 2021, χρησίμευσε ως το θεμέλιο για την ανάπτυξη των τεχνικών κρυπτογράφησης του Ομίλου RA.

Το Ransomware της Ομάδας RA αποτελεί σοβαρό κίνδυνο για τα δεδομένα των θυμάτων

Το σημείωμα λύτρων, που απευθύνεται στα θύματα του RA Group Ransomware, παρέχει ένα σαφές μήνυμα ότι τα δεδομένα τους έχουν κρυπτογραφηθεί. Επιπλέον, οι κυβερνοεγκληματίες ισχυρίζονται ότι έχουν διοχετεύσει αντίγραφα όλων των παραβιασμένων δεδομένων στον διακομιστή τους, καθιστώντας ουσιαστικά την επίθεση μια επιχείρηση διπλού εκβιασμού. Τέτοιες μέθοδοι διασφαλίζουν ότι τα θύματα θα συμμορφωθούν με τις απαιτήσεις των επιτιθέμενων.

Το σημείωμα συνεχίζει να παρέχει μια εξήγηση της κατάστασης, τονίζοντας ότι οι εισβολείς έχουν πάρει τα δεδομένα των θυμάτων και κρυπτογραφούν τους διακομιστές τους. Διαβεβαιώνει τα θύματα ότι τα κρυπτογραφημένα αρχεία μπορούν να αποκρυπτογραφηθούν, υπονοώντας ότι υπάρχει δυνατότητα ανάκτησης των δεδομένων τους. Επιπλέον, η σημείωση αναφέρει ότι μόλις ικανοποιηθούν οι απαιτήσεις των εισβολέων, τα αποθηκευμένα δεδομένα θα διαγραφούν οριστικά. Επίσης, παραθέτει τους διάφορους τύπους δεδομένων στα οποία είχαν πρόσβαση οι εισβολείς κατά τη διάρκεια της παραβίασης.

Για να ξεκινήσει η διαδικασία αποκρυπτογράφησης, τα θύματα λαμβάνουν οδηγίες να έρθουν σε επαφή με τους εισβολείς και να πραγματοποιήσουν πληρωμή λύτρων. Η προτιμώμενη μέθοδος επικοινωνίας που καθορίζεται στη σημείωση είναι μέσω qTox και παρέχεται ένα συγκεκριμένο αναγνωριστικό qTox στα θύματα. Το σημείωμα προειδοποιεί ρητά να μην έρθετε σε επαφή με τους εισβολείς μέσω άλλων ενδιάμεσων εταιρειών, υποδηλώνοντας ότι οι εισβολείς ενδιαφέρονται αποκλειστικά να επωφεληθούν από την κατάσταση και να αποθαρρύνουν οποιαδήποτε ανάμειξη τρίτων.

Όσον αφορά τις συνέπειες για τη μη συμμόρφωση, το σημείωμα λύτρων αναφέρει ότι εάν δεν υπάρξει επαφή εντός τριών ημερών, οι εισβολείς θα δημοσιοποιήσουν δείγματα αρχείων ως μέσο πίεσης των θυμάτων. Επιπλέον, εάν τα θύματα δεν καταφέρουν να έρθουν σε επαφή εντός επτά ημερών, το σημείωμα απειλεί να δημοσιοποιήσει όλα τα κρυπτογραφημένα αρχεία. Για πρόσβαση σε πρόσθετες πληροφορίες, συνιστάται στα θύματα να χρησιμοποιούν το πρόγραμμα περιήγησης Tor, το οποίο είναι γνωστό για τις δυνατότητες ανωνυμίας του.

Πάρτε μια σοβαρή προσέγγιση για την ασφάλεια των συσκευών και των δεδομένων σας

Οι χρήστες μπορούν να υιοθετήσουν διάφορα μέτρα για την αποτελεσματική προστασία των συσκευών και των δεδομένων τους από μολύνσεις ransomware. Πρώτον, η διατήρηση ενημερωμένου και ισχυρού λογισμικού ασφαλείας στις συσκευές τους είναι ζωτικής σημασίας. Αυτό περιλαμβάνει τη χρήση αξιόπιστου λογισμικού κατά του κακόβουλου λογισμικού που μπορεί να εντοπίσει και να αποκλείσει απειλές ransomware. Επιπλέον, η διατήρηση του λειτουργικού συστήματος, των εφαρμογών και του υλικολογισμικού ενημερωμένα με τις πιο πρόσφατες ενημερώσεις κώδικα ασφαλείας και ενημερώσεις είναι απαραίτητη για την αντιμετώπιση τυχόν ευπάθειας που μπορεί να εκμεταλλευτεί το ransomware.

Ένα άλλο θεμελιώδες μέτρο είναι η προσοχή και η επαγρύπνηση κατά την περιήγηση στο Διαδίκτυο και το άνοιγμα συνημμένων email. Οι χρήστες θα πρέπει να είναι προσεκτικοί με ύποπτα μηνύματα ηλεκτρονικού ταχυδρομείου, συνδέσμους ή συνημμένα από άγνωστες πηγές, καθώς αυτά μπορούν συχνά να χρησιμεύσουν ως σημεία εισόδου για μολύνσεις ransomware. Συνιστάται να ελέγχετε την αυθεντικότητα των email και των συνημμένων προτού αλληλεπιδράσετε μαζί τους, ειδικά εάν φαίνονται ασυνήθιστα ή απροσδόκητα.

Η τακτική δημιουργία αντιγράφων ασφαλείας σχετικών δεδομένων είναι μια κρίσιμη πτυχή της προστασίας από ransomware. Η δημιουργία αντιγράφων ασφαλείας εκτός σύνδεσης των απαραίτητων αρχείων και η αποθήκευσή τους σε ξεχωριστές συσκευές ή λύσεις αποθήκευσης cloud συμβάλλει στη διασφάλιση ότι τα δεδομένα μπορούν να ανακτηθούν σε περίπτωση επίθεσης ransomware. Είναι σημαντικό να διατηρείτε πολλά αντίγραφα των αντιγράφων ασφαλείας και να διασφαλίζετε ότι αποθηκεύονται με ασφάλεια για να αποτρέπεται η μη εξουσιοδοτημένη πρόσβαση.

Η ενεργοποίηση πρόσθετων μέτρων ασφαλείας, όπως η προστασία τείχους προστασίας, τα συστήματα ανίχνευσης εισβολής και ο περιορισμός των προνομίων των χρηστών, μπορεί να δημιουργήσει ένα επιπλέον επίπεδο άμυνας έναντι ransomware. Η εφαρμογή ισχυρών, αποκλειστικών κωδικών πρόσβασης και η ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων μπορεί να βοηθήσει στην αποτροπή μη εξουσιοδοτημένης πρόσβασης σε συσκευές και λογαριασμούς.

Το κείμενο του σημειώματος λύτρων που κυκλοφόρησε από το RA Group Ransomware είναι:

'# RA Group

----

## Notification

Your data has been encrypted when you read this letter.

We have copied all data to our server.

But don't worry, your data will not be compromised or made public if you do what I want.

## What did we do?

We took your data and encrypted your servers, encrypted files can be decrypted.

We had saved your data properly, we will delete the saved data if you meet our requirements.

We took the following data:

Documents

supplier information

customer Information, Payment Information

employee Information, Payroll

accounting

sales tax

financial Statements

financial annual report, quarterly report

CONTRACT

business Plan

contract

invoices

vtex info

employee internal email backup

## What we want?

Contact us, pay for decryption.

## How contact us?

We use qTox to contact, you can get more information from qTox office website:

hxxps://qtox.github.io

Our qTox ID is:

7B7AC445617DAF85ABDCF35595030D4A62F1662BF284A6AE92466DF179AE6557795AC1E5BA06

We have no other contact.

If there is no contact within 3 days, we will make sample files public.

If there is no contact within 7 days, we will make the file public.

## Recommend

Do not contact us through other companies, they just earn the difference.

## Information release

Sample files:

All files:

You can use Tor Browser to open .onion url.

Ger more information from Tor office webshite:

hxxps://www.torproject.org'