R3tr0 ransomware

Una nuova variante appartenente alla famiglia di ransomware Dharma viene utilizzata dai criminali informatici per bloccare i dati delle loro vittime. La minaccia viene tracciata come R3tr0 Ransomware ma può anche essere rilevata come RETRO-ENCRYPTED. Il malware è dotato di una routine di crittografia non decifrabile che può interessare tutti i file importanti della vittima: database, archivi, documenti, immagini, ecc.

Ogni file crittografato avrà anche il suo nome cambiato drasticamente. La minaccia aggiungerà prima una stringa ID specifica per la particolare vittima. Ne seguirà con un indirizzo e-mail sotto il controllo degli aggressori - "r3tr0crypt@tuta.io", in questo caso. Infine, i file bloccati avranno '.r3tr0' aggiunto come nuova estensione di file. Come è tipico per una minaccia basata sul Dharma, R3tr0 Ransomware rilascerà due richieste di riscatto sui dispositivi violati come file "Info.hta" e "info.txt".

Il file di testo conterrà una versione troncata della richiesta di riscatto con gli utenti semplicemente indirizzati a contattare i due indirizzi e-mail degli aggressori. Il set completo di istruzioni si trova all'interno della finestra pop-up generata dal file .hta. Qui, gli attori delle minacce hanno nuovamente ribadito le loro e-mail a "r3tr0crypt@tuta.io" e "r3tr0crypt@msgsafe.io". Avvertono inoltre le loro vittime che rinominare o tentare di decrittografare i dati con strumenti di terze parti potrebbe danneggiare permanentemente i dati e rendere i file irrecuperabili.

Il testo completo del messaggio di richiesta di riscatto è:

RETRO-CRIPTATA
r3tr0
Non preoccuparti, puoi restituire tutti i tuoi file!
Se vuoi ripristinarli, scrivi alla mail: r3tr0crypt@tuta.io IL TUO ID -
Se non hai risposto via mail entro 12 ore, scrivici tramite un'altra mail:r3tr0crypt@msgsafe.io
ATTENZIONE!
Ti consigliamo di contattarci direttamente per evitare di pagare in eccesso gli agenti
Non rinominare i file crittografati.
Non tentare di decrittografare i tuoi dati utilizzando software di terze parti, potrebbe causare la perdita permanente dei dati.
La decrittazione dei tuoi file con l'aiuto di terze parti può causare un aumento del prezzo (aggiungono la loro tariffa alla nostra) o puoi diventare vittima di una truffa.

Le istruzioni nel file di testo sono:

tutti i tuoi dati ci sono stati bloccati
Vuoi tornare?
scrivi un'e-mail r3tr0crypt@tuta.io o r3tr0crypt@msgsafe.io