Ransomweb Ransomware

Nonostante il nome, Ransomweb Ransomware finge solo di essere un ransomware. Inizialmente, sembra che stia seguendo il comportamento tipico di questo tipo di minaccia malware - è stato osservato infettare il sito Web di una vittima, crittografare i file lì, aggiungere i nomi dei file originali con la propria estensione di file - ".xploiter" e ha generato una richiesta di riscatto . Guardare il testo lasciato dai criminali informatici mostra che qualcosa non va. Non ci sono canali di comunicazione, come le e-mail, che gli utenti interessati possono contattare i criminali per i dettagli. La nota non menziona nemmeno il pagamento del riscatto, l'obiettivo principale di qualsiasi operazione di ransomware. Invece, gli hacker responsabili di Ransomweb Ransomware sembrano essere subito dopo aver causato il caos, affermando che tutti i file interessati non possono essere ripristinati a meno che la vittima non abbia un backup adeguato.

Il messaggio atipico ha indotto i ricercatori di infosec di Sucuri Labs a scavare un po 'più a fondo nel codice e nella funzionalità della minaccia. Hanno trovato un file PHP chiamato "openeds.php" che era offuscato e quindi illeggibile nel suo stato attuale. Dopo essere riusciti a deoffuscare il file con successo e a tradurlo in inglese dal testo indonesiano iniziale, i ricercatori hanno scoperto un file di sblocco. All'interno del suo codice, conteneva il metodo per recuperare tutti i file bloccati da Ransomweb Ransomware perché, come si è scoperto, sembravano essere crittografati solo mentre la verità era che i file erano stati offuscati. Alla fine, entrambi i processi forniscono il risultato che i file interessati sono inaccessibili e inutilizzabili, ma lavorare attraverso l'offuscamento è del tutto possibile mentre crackare la possibile crittografia è quasi impossibile con le chiavi di decrittazione richieste. L'offuscamento in questione utilizzato per tutti i file .xploiter bloccati è chiamato gzdeflate, e per invertirlo e ripristinare i dati opposti deve essere utilizzato - gzinflate.

Nonostante il nome, Ransomweb Ransomware finge solo di essere un ransomware. Inizialmente, sembra che stia seguendo il comportamento tipico di questo tipo di minaccia malware - è stato osservato infettare il sito Web di una vittima, crittografare i file lì, aggiungere i nomi dei file originali con la propria estensione di file - ".xploiter" e ha generato una richiesta di riscatto. Guardare il testo lasciato dai criminali informatici mostra che qualcosa non va. Non ci sono canali di comunicazione, come le e-mail, che gli utenti interessati possono contattare i criminali per i dettagli. La nota non menziona nemmeno il pagamento del riscatto, l'obiettivo principale di qualsiasi operazione di ransomware. Invece, gli hacker responsabili di Ransomweb Ransomware sembrano essere subito dopo aver causato il caos, affermando che tutti i file interessati non possono essere ripristinati a meno che la vittima non abbia un backup adeguato.

C'è un ultimo ostacolo, tuttavia, poiché prima di poter avviare il processo di deoffuscamento, è necessario fornire una password. Avere accesso al file di sblocco stesso, tuttavia, rende possibile modificarlo in modo tale che il controllo della password venga completamente rimosso o la password stessa venga modificata in qualcosa che l'utente già conosce.