GrafGrafel Ransomware

Istraživači su identificirali zloćudni program poznat kao GrafGrafel. Ova vrsta zlonamjernog softvera spada u kategoriju ransomwarea, klase prijetećeg softvera koji šifrira podatke i zahtijeva plaćanje za njihovo naknadno dešifriranje. Nakon što se izvrši na žrtvinom uređaju, GrafGrafel šifrira brojne datoteke pohranjene u sustavu i mijenja njihove nazive datoteka. Izvorni naslovi datoteka dodani su s jedinstvenim ID-om dodijeljenim određenoj žrtvi, adresom e-pošte kibernetičkih kriminalaca i ekstenzijom '.GrafGrafel'. Na primjer, datoteka izvorno nazvana '1.doc' transformirala bi se u '1.doc.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel' nakon šifriranja. GrafGrafel je identificiran kao varijanta unutar obitelji Phobos Ransomwarea .

Nakon dovršetka procesa enkripcije, GrafGrafel postavlja svoje bilješke o otkupnini. Jedan oblik obavijesti predstavlja se kao pop-up generiran iz datoteke 'info.hta', dok se tekstualne datoteke naziva 'info.txt' nalaze u svim mapama koje sadrže šifrirane podatke, kao i na desktopu sustava. Analiza poruka unutar ovih bilješki otkriva da GrafGrafel posebno cilja na tvrtke, a ne na pojedinačne kućne korisnike. Nadalje, koristi dvostruku taktiku iznuđivanja, što ukazuje na povećanu razinu sofisticiranosti njegove strategije.

GrafGrafel Ransomware također može prikupljati osjetljive podatke od žrtava

Sadržaj prikazan u skočnim i tekstualnim datotekama je identičan. Komunicira da su žrtvine datoteke šifrirane, uz dodatnu prijetnju da su osjetljivi podaci tvrtke eksfiltrirani. Napadači zahtijevaju otkupninu, upozoravajući da će nepoštivanje rezultirati curenjem ukradenih informacija i kontinuiranom nedostupnošću zaključanih podataka. Ove bilješke izričito opisuju rizike povezane s potencijalnim curenjem podataka tvrtke. Naime, ako žrtva kontaktira kibernetičke kriminalce u roku od šest sati, iznos otkupnine bit će smanjen za 30%.

Prije bilo kakvog plaćanja žrtvi se savjetuje da testira proces dešifriranja na nekoliko malih datoteka. Poruke upozoravaju na radnje koje bi mogle rezultirati trajnim gubitkom podataka, poput ponovnog pokretanja ili gašenja sustava, izmjene zahvaćenih datoteka, upotrebe alata za dešifriranje trećih strana ili traženja pomoći od tvrtki ili nadležnih tijela za oporavak.

GrafGrafel ransomware šifrira i lokalne i mrežno dijeljene datoteke, pri čemu kritične sistemske datoteke ostaju nepromijenjene kako bi se osiguralo da zaraženi sustav ostane operativan. Dok varijante Phobos Ransomwarea izbjegavaju dvostruku enkripciju izuzimanjem datoteka koje su već zaključane drugim ransomwareom, ovaj postupak nije besprijekoran zbog unaprijed određenog popisa izuzeća koji možda neće pokrivati sve poznate zlonamjerne programe za šifriranje podataka.

Phobos varijante također prekidaju procese povezane s otvorenim datotekama (npr. programi baza podataka, čitači datoteka, itd.), sprječavajući izuzeća enkripcije na temelju toga što se datoteke smatraju 'u upotrebi'. Kako bi dodatno zakomplicirao oporavak, GrafGrafel briše Shadow Volume Copies, eliminirajući zadane opcije oporavka. Ransomware uspostavlja postojanost tako što se kopira na stazu %LOCALAPPDATA% i registrira se s određenim ključevima Run, osiguravajući automatsko pokretanje nakon ponovnog pokretanja sustava.

Osim toga, Phobos napadi mogu biti ciljani jer zlonamjerni softver prikuplja geolokacijske podatke. Te bi se informacije mogle iskoristiti za procjenu isplativosti širenja infekcije na temelju čimbenika kao što su geopolitički razlozi ili ekonomska snaga regije žrtve.

Obavezno primijenite dostatne sigurnosne mjere protiv prijetnji zlonamjernim softverom

Korisnici mogu implementirati različite sigurnosne mjere na svoje uređaje kako bi se zaštitili od napada zlonamjernog softvera. Evo ključnih preporuka:

• Koristite softver protiv zlonamjernog softvera :
• Instalirajte profesionalni sigurnosni softver i održavajte ga ažurnim. Redovito planirajte skeniranja za otkrivanje i uklanjanje zlonamjernog softvera.
• Redovno ažurirajte operativne sustave :
• Provjerite jesu li operativni sustav (OS) i sve softverske aplikacije ažurirane najnovijim dostupnim sigurnosnim zakrpama. Omogućite automatsko ažuriranje kada je to moguće.
• Omogući vatrozid :
• Aktivirajte vatrozid na razini uređaja i mreže. Vatrozidi su korisni u nadzoru i kontroli dolaznog i odlaznog mrežnog prometa, pružajući dodatni sloj obrane.
• Budite oprezni s privicima i vezama e-pošte :
• Budite oprezni kada rukujete privicima e-pošte ili klikate na poveznice, osobito ako pošiljatelj nije poznat. Koristite alate za filtriranje e-pošte kako biste lakše identificirali i filtrirali potencijalno zlonamjerne e-poruke.
• Koristite snažne, jedinstvene lozinke :
• Uvijek stvorite jake i jedinstvene lozinke za sve račune. Istodobno izbjegavajte korištenje iste lozinke na više računa.
• Redovito sigurnosno kopirajte podatke :
• Redovito sigurnosno kopirajte važne podatke na vanjski uređaj ili sigurnu uslugu u oblaku. U slučaju napada zlonamjernim softverom, ažurirane sigurnosne kopije mogu pomoći u vraćanju izgubljenih ili šifriranih datoteka.
• Ostanite informirani :
• Pratite najnovije prijetnje zlonamjernim softverom i najbolje sigurnosne prakse. Redovito provjeravajte ima li ažuriranja iz sigurnosnih izvora i budite svjesni uobičajenih taktika koje koriste kibernetički kriminalci.
• Sigurne Wi-Fi mreže :
• Koristite jaku enkripciju (npr. WPA3) na kućnim Wi-Fi mrežama. Promijenite zadane lozinke usmjerivača i redovito ih ažurirajte. Izbjegavajte korištenje javnog Wi-Fi-ja za osjetljive aktivnosti.

Kombinacijom ovih sigurnosnih mjera korisnici mogu značajno poboljšati svoju zaštitu od zlonamjernog softvera i drugih cyber prijetnji. Osim toga, njegovanje sigurnosnog načina razmišljanja i oprez ključni su aspekti održavanja sigurnog digitalnog okruženja.

Potpuni tekst poruke o otkupnini koja je predstavljena žrtvama GrafGrafel Ransomwarea je:

'!!! ATTENTION !!!

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

S čime ćete se suočiti ako vaši podaci dospiju na crno tržište:
Osobni podaci vaših zaposlenika i kupaca mogu se koristiti za dobivanje zajma ili kupnje u internetskim trgovinama.
Klijenti vaše tvrtke mogu vas tužiti zbog curenja povjerljivih informacija.
Nakon što drugi hakeri dođu do osobnih podataka o vašim zaposlenicima, društveni inženjering će se primijeniti na vašu tvrtku i naknadni napadi će se samo pojačati.
Bankovni podaci i putovnice mogu se koristiti za stvaranje bankovnih računa i internetskih novčanika preko kojih će se prati kriminalni novac.
Zauvijek ćeš izgubiti ugled.
Bit ćete podvrgnuti ogromnim novčanim kaznama od strane vlade.
Više o odgovornosti za gubitak podataka možete saznati ovdje: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulationili ovdje hxxps://gdpr-info.eu
Sudovi, kazne i nemogućnost korištenja važnih datoteka dovest će vas do velikih gubitaka. Posljedice toga za vas će biti nepovratne.
Obraćanje policiji neće vas spasiti od ovih posljedica, a gubitak podataka samo će pogoršati vašu situaciju.

Kako nas kontaktirati
Pišite nam na mailove: GrafGrafel@tutanota.com
Možete kontaktirati našeg online operatera u telegramu: @GROUNDINGCONDUCTOR (BUDITE OPREZNI NA LAŽANJE)
Preuzmite (Session) messenger hxxps://getsession.org u messengeru :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Napišite ovaj ID u naslov svoje poruke -
AKO NAS KONTAKTIRATE U PRVIH 6 sati, a mi sklopimo posao za 24 sata, CIJENA ĆE BITI SAMO 30%.
(vrijeme je novac za nas oboje, ako se brinete o našem vremenu, mi ćemo učiniti isto, vodit ćemo računa o cijeni i proces dešifriranja bit će obavljen VRLO BRZO)
SVI PREUZETI PODACI ĆE BITI OBRISANI nakon uplate.

Što ne raditi i preporuka
Iz ove situacije možete izaći uz minimalne gubitke (Naš ugled je naš novac!) !!! Da biste to učinili, morate se strogo pridržavati sljedećih pravila:
NEMOJTE mijenjati, NEMOJTE preimenovati, NEMOJTE kopirati, NEMOJTE premještati datoteke. Takve radnje ih mogu OŠTETITI i dešifriranje će biti nemoguće.
NEMOJTE koristiti softver treće strane ili javni softver za dešifriranje, on također može OŠTETITI datoteke.
NEMOJTE gasiti ili ponovno pokretati sustav jer to može OŠTETITI datoteke.
NE unajmljujte pregovarače treće strane (oporavak/policija, itd.) Morate nas kontaktirati što je prije moguće i započeti pregovore.
Možete nam poslati 1-2 male datoteke bez vrijednosti za testiranje, mi ćemo ih dešifrirati i poslati vam natrag.
Nakon uplate ne treba nam više od 2 sata da dekriptiramo sve vaše podatke. Pružat ćemo vam podršku dok se potpuno dešifriranje ne izvrši! ! ! (Naš ugled je naš novac!)

Upute za kontaktiranje našeg tima:
Preuzmite (Session) messenger (hxxps://getsession.org) u messengeru :ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram : @GROUNDINGCONDUCTOR (BUDITE OPREZNI NA LAŽANJE)
MAIL: GrafGrafel@tutanota.com'