Intel Ransomware

I ricercatori hanno scoperto un nuovo ceppo di ransomware noto come Intel Ransomware. Questo software minaccioso si infiltra nei dispositivi, crittografa i dati archiviati e richiede un riscatto in cambio della presunta decrittazione delle informazioni compromesse.

In particolare, i file interessati dal ransomware Intel vengono sottoposti a un processo di ridenominazione. I nomi dei file originali vengono arricchiti con un identificatore univoco assegnato alla vittima, seguito da ".[intellent@ai_download_file]" e concluso con l'estensione ".intel". A titolo illustrativo, un file inizialmente etichettato come "1.jpg" verrebbe trasformato in "1.jpg.id-9ECFA93E.[intellent@ai_download_file].intel" dopo la crittografia.

Una volta completato il processo di crittografia, le vittime incontrano richieste di riscatto presentate sia in una finestra pop-up che come file di testo denominati "README!.txt". Questi file di testo vengono depositati all'interno di ciascuna cartella crittografata e sul desktop del sistema. L'analisi del contenuto della richiesta di riscatto rivela che Intel Ransomware prende di mira specificamente le aziende e impiega tattiche di doppia estorsione. Inoltre, questo programma minaccioso è affiliato alla famiglia Dharma Ransomware .

Il ransomware Intel impedisce alle vittime di accedere ai propri dati

Intel Ransomware dimostra un approccio completo crittografando sia i file locali che quelli condivisi in rete, mentre i file di sistema cruciali rimangono inalterati per evitare di rendere il sistema non operativo. In particolare, utilizza una strategia per evitare la doppia crittografia escludendo i file bloccati da altri ransomware. Tuttavia, questo metodo non è infallibile, poiché si basa su un elenco predefinito che potrebbe non comprendere tutte le varianti di ransomware conosciute.

Inoltre, il malware Intel mostra sofisticatezza nel suo funzionamento chiudendo processi associati a file che potrebbero essere aperti, come lettori di file di testo e programmi di database. Questa misura proattiva mira a prevenire conflitti per i file ritenuti "in uso", garantendo che non siano esentati dalla crittografia.

La famiglia di ransomware Dharma, a cui appartiene il malware Intel, utilizza tattiche strategiche per l'infiltrazione e la persistenza. Ciò include la disattivazione del firewall per facilitare l'infiltrazione ed eludere il rilevamento. Inoltre, le tecniche di garanzia della persistenza implicano:

• • Copia del malware nel percorso %LOCALAPPDATA%.

• • Registrandolo con chiavi Run specifiche.

• • Configurazione dell'avvio automatico del ransomware dopo ogni riavvio del sistema.

Un aspetto notevole degli attacchi Dharma è il loro potenziale per azioni mirate. I programmi associati a questa famiglia possono raccogliere dati di geolocalizzazione, consentendo eccezioni nei loro attacchi. Questa adattabilità implica che le infezioni possano avere motivazioni politiche o geopolitiche, oppure possano evitare intenzionalmente vittime che difficilmente potrebbero soddisfare le richieste di riscatto, soprattutto nelle regioni con condizioni economiche deboli.

Per ostacolare ulteriormente gli sforzi di ripristino, Intel Ransomware può eliminare le copie shadow del volume, ostacolando il ripristino delle versioni precedenti dei file. Sulla base di ricerche approfondite sulle infezioni ransomware, è evidente che la decrittazione senza l’intervento degli aggressori è in genere una sfida insormontabile.

Il ransomware Intel utilizza tattiche di doppia estorsione

Il contenuto del file di testo funge da breve avviso alla vittima, comunicandole che i suoi dati sono stati crittografati e raccolti. Richiede alla vittima di stabilire una comunicazione inviando un'e-mail agli aggressori.

Il messaggio pop-up, invece, fornisce informazioni più dettagliate sull'infezione da ransomware. Ribadisce gli aspetti della crittografia e del furto di dati, sottolineando l’urgenza della situazione. La richiesta di riscatto avverte severamente che il mancato contatto con i criminali informatici entro 24 ore o il rifiuto di soddisfare la richiesta di riscatto porterà alla scoperta dei contenuti rubati nel Dark Web o alla loro vendita ai concorrenti dell'azienda della vittima.

Per dimostrare la possibilità di recupero, il messaggio offre un test di decrittazione gratuito da condurre su un singolo file. La vittima viene inoltre esplicitamente informata che chiedere assistenza alle società di recupero potrebbe comportare ulteriori perdite finanziarie, poiché questi intermediari in genere impongono commissioni che vengono aggiunte all'importo del riscatto.

Tuttavia, si osserva spesso che le vittime, anche dopo aver soddisfatto le richieste di riscatto, non ricevono le chiavi o il software di decrittazione promessi. Nonostante siano soddisfatti i requisiti di riscatto, non vi è alcuna garanzia di recupero dei file. Di conseguenza, i ricercatori scoraggiano fortemente il pagamento del riscatto, poiché non solo non garantisce il recupero dei file, ma perpetua e sostiene anche attività criminali. Inoltre, è essenziale comprendere che, sebbene la rimozione del ransomware possa interrompere l'ulteriore crittografia dei dati, il processo di rimozione non ripristina automaticamente i file precedentemente compromessi.

Intel Ransomware visualizza la seguente richiesta di riscatto come una finestra pop-up:

'intellent.ai We downloaded to our servers and encrypted all your databases and personal information!

Se non ci scrivi entro 24 ore, inizieremo a pubblicare e vendere i tuoi dati nella darknet su siti di hacker e offriremo le informazioni ai tuoi concorrenti
inviaci un'e-mail a: intellent.ai@onionmail.org IL TUO ID -
Se non hai ricevuto risposta entro 24 ore, scrivi a questa email: intellent.ai@onionmail.org

INFORMAZIONI IMPORTANTI!
Tieni presente che una volta che i tuoi dati compaiono sul nostro sito di leak, potrebbero essere acquistati dai tuoi concorrenti in qualsiasi secondo, quindi non esitare a lungo. Prima pagherai il riscatto, prima la tua azienda sarà al sicuro.
abbiamo esaminato tutti i tuoi rapporti e le entrate della tua azienda.
Garanzia: se non ti forniamo un decryptor o non cancelliamo i tuoi dati dopo il pagamento, nessuno ci pagherà in futuro. Apprezziamo la nostra reputazione.
Chiave di garanzia: per dimostrare che la chiave di decrittazione esiste, possiamo testare gratuitamente il file (non il database e il backup).
Non tentare di decrittografare i tuoi dati utilizzando software di terze parti, potrebbe causare la perdita permanente dei dati.
Non rivolgerti a società di recupero dati: sono essenzialmente solo intermediari. La decrittazione dei tuoi file con l'aiuto di terze parti può causare un aumento del prezzo (aggiungono la loro tariffa alla nostra) siamo gli unici ad avere le chiavi di decrittazione.

I file di testo creati da Intel Ransomware contengono il seguente messaggio:

I tuoi dati sono stati rubati e crittografati!

Mandaci una email

intellent.ai@onionmail.org'