R3tr0 Ransomware

یک نوع جدید متعلق به خانواده باج افزار Dharma توسط مجرمان سایبری برای قفل کردن داده های قربانیان خود استفاده می شود. این تهدید به‌عنوان باج‌افزار R3tr0 ردیابی می‌شود، اما می‌توان با آن به‌عنوان RETRO-ENCRYPTED نیز مواجه شد. این بدافزار به یک روال رمزگذاری غیرقابل کرک مجهز است که می تواند بر تمام فایل های مهم قربانی - پایگاه داده ها، بایگانی ها، اسناد، تصاویر و غیره تأثیر بگذارد.

نام هر فایل رمزگذاری شده نیز به شدت تغییر خواهد کرد. تهدید ابتدا یک رشته ID خاص برای قربانی خاص اضافه می کند. به دنبال آن یک آدرس ایمیل تحت کنترل مهاجمان - 'r3tr0crypt@tuta.io'، در این مورد. در نهایت، فایل های قفل شده دارای '.r3tr0' به عنوان پسوند فایل جدید خواهند بود. همانطور که برای یک تهدید مبتنی بر دارما معمول است، R3tr0 Ransomware دو یادداشت باج را به عنوان فایل‌های «Info.hta» و «info.txt» روی دستگاه‌های نقض‌شده حذف می‌کند.

فایل متنی حاوی یک نسخه کوتاه شده از یادداشت باج است که کاربران صرفاً به سمت تماس با دو آدرس ایمیل مهاجمان هدایت می شوند. مجموعه کامل دستورالعمل ها در داخل پنجره پاپ آپ ایجاد شده از فایل hta یافت می شود. در اینجا، بازیگران تهدید دوباره ایمیل‌های خود را در «r3tr0crypt@tuta.io» و «r3tr0crypt@msgsafe.io» تکرار کردند. آنها همچنین به قربانیان خود هشدار می دهند که تغییر نام یا تلاش برای رمزگشایی داده ها با ابزارهای شخص ثالث می تواند به طور دائمی به داده ها آسیب برساند و فایل ها را غیرقابل بازیابی کند.

متن کامل پیام باج خواهی به شرح زیر است:

یکپارچهسازی با سیستمعامل رمزگذاری شده
r3tr0
نگران نباشید، شما می توانید تمام فایل های خود را برگردانید!
اگر می خواهید آنها را بازیابی کنید، به ایمیل بنویسید: r3tr0crypt@tuta.io شناسه شما -
اگر ظرف 12 ساعت از طریق پست پاسخ ندادید، با ایمیل دیگری برای ما بنویسید:r3tr0crypt@msgsafe.io
توجه!
توصیه می کنیم برای جلوگیری از پرداخت بیش از حد نمایندگان، مستقیماً با ما تماس بگیرید
نام فایل های رمزگذاری شده را تغییر ندهید.
سعی نکنید اطلاعات خود را با استفاده از نرم افزار شخص ثالث رمزگشایی کنید، ممکن است باعث از دست رفتن دائمی داده ها شود.
رمزگشایی فایل های شما با کمک اشخاص ثالث ممکن است باعث افزایش قیمت شود (آنها هزینه خود را به ما اضافه می کنند) یا می توانید قربانی یک کلاهبرداری شوید.

دستورالعمل های موجود در فایل متنی عبارتند از:

تمام اطلاعات شما برای ما قفل شده است
میخوای برگردی؟
ایمیل r3tr0crypt@tuta.io یا r3tr0crypt@msgsafe.io بنویسید