FORCE Ransomware

Pārbaudot iespējamos ļaunprātīgas programmatūras draudus, pētnieki atklāja FORCE Ransomware. Kad tas iekļūst ierīcē, FORCE uzsāk dažādu failu tipu šifrēšanu, ietverot attēlus, dokumentus, izklājlapas un daudz ko citu. Uzbrucēju mērķis ir turēt šifrētos datus par ķīlniekiem un piespiest ietekmētos upurus maksāt par to atšifrēšanu. Lai identificētu upurus un izveidotu saziņu, izspiedējprogrammatūra šifrēto failu failu nosaukumiem pievieno unikālus identifikatorus, kibernoziedznieku e-pasta adreses un paplašinājumu “.FORCE”. Piemēram, fails sākotnēji ar nosaukumu “1.png” tiks pārveidots par “1.png.id[9ECFA74E-3545].[data199@mailum.com].FORCE”.

Pēc šifrēšanas procesa pabeigšanas sistēma parāda identiskas izpirkuma piezīmes divos formātos: uznirstošajā logā ('info.hta') un teksta failā ('info.txt'). Šie ziņojumi tiek parādīti darbvirsmā un visos direktorijos, kuros ir šifrēti faili. Turpmākā analīze atklāja, ka FORCE pieder Phobos Ransomware saimei.

FORCE Ransomware izspiež upurus par naudu

FORCE izdotajās izpirkuma zīmēs uzsvērts, ka upura faili ir šifrēti un sensitīvie dati ir apdraudēti. Lai it kā atgūtu piekļuvi saviem failiem, upurim tiek uzdots samaksāt izpirkuma maksu, izmantojot tikai Bitcoin kriptovalūtu. Ja netiks ievērotas uzskaitītās prasības, nozagtā informācija tiks pārdota. Pirms jebkādu maksājumu veikšanas cietušajam tiek dota iespēja bez maksas pārbaudīt atšifrēšanas procesu, lai gan ar noteiktiem ierobežojumiem.

Ziņojumi brīdina, ka nedrīkst mainīt šifrētos failus vai izmantot trešās puses atkopšanas rīkus, jo šādas darbības var padarīt datus neatgūstamus. Turklāt cietušais tiek brīdināts, ka palīdzības meklēšana pie trešajām personām var saasināt viņa finansiālos zaudējumus.

FORCE Ransomware veic pasākumus, lai novērstu bloķētu datu vieglu atkopšanu

Šī draudīgā programma, kas ir daļa no Phobos Ransomware saimes, ir pazīstama ar savu metodisko pieeju šifrēšanai. Atšķirībā no dažiem izpirkuma programmatūras variantiem, kas padara inficētās mašīnas pilnīgi nedarbojamas, Phobos ļaunprogrammatūra selektīvi mērķtiecīgi mērķē uz failiem šifrēšanai, izvairoties no kritiskiem sistēmas failiem, lai nodrošinātu, ka sistēma paliek funkcionāla. Tas šifrē gan lokāli saglabātos, gan tīklos kopīgotos failus un pārtrauc procesus, kas saistīti ar atvērtiem failiem, lai novērstu izņēmumus, kuru pamatā ir faili, kas tiek “lietoti”, piemēram, datu bāzes programmas vai teksta failu lasītāji.

Lai novērstu dubulto šifrēšanu, Phobos Ransomware uztur populāru ransomware programmu izslēgšanas sarakstu. Programmatūras jau bloķētie faili šajā sarakstā netiek ietekmēti. Turklāt Phobos izdzēš ēnu sējuma kopijas, kas ir izplatīta atkopšanas opcija, lai vēl vairāk kavētu datu atjaunošanas mēģinājumus.

Lai nodrošinātu noturību uzlauztajās ierīcēs, ļaunprogrammatūra sevi kopē %LOCALAPPDATA% ceļā un reģistrējas ar noteiktām palaišanas atslēgām, nodrošinot, ka tā automātiski sāk darboties katrā sistēmas atsāknēšanas reizē. Interesanti, ka Phobos ransomware var atturēties no uzbrukumiem ierīcēm, pamatojoties uz to ģeogrāfisko atrašanās vietu, jo īpaši tām, kas atrodas ekonomiski vājos reģionos vai ģeopolitiski saskaņotās valstīs.

Izspiedējprogrammatūras bloķēto datu atšifrēšana bez kibernoziedznieku iejaukšanās parasti nav iespējama. Pat ja upuri izpilda izpirkuma prasības, nav garantijas, ka viņi saņems solītās atšifrēšanas atslēgas vai programmatūru. Tāpēc izpirkuma maksas maksāšana ne tikai negarantē datu atgūšanu, bet arī iemūžina nelikumīgas darbības.

Lai gan izspiedējprogrammatūras noņemšana no operētājsistēmas novērš turpmāku šifrēšanu, tā neatjauno apdraudētos failus. Vienīgais uzticamais risinājums ir failu atkopšana no dublējuma, ja tāda ir pieejama.

Neriskējiet ar savu ierīču un datu drošību

Lietotāji var uzlabot savu datu un ierīču aizsardzību pret izspiedējvīrusu draudiem, ieviešot daudzslāņu pieeju kiberdrošībai. Šeit ir dažas efektīvas stratēģijas:

• Atjauniniet programmatūru : regulāri atjauniniet operētājsistēmas, programmatūras lietojumprogrammas un pretvīrusu programmas, lai aizlāpītu drošības ievainojamības un aizsargātu pret zināmiem ļaunprātīgiem gadījumiem. Iespējojiet automātiskos atjauninājumus, kad vien iespējams.
• Uzticamas drošības programmatūras instalēšana : izmantojiet cienījamu ļaunprātīgas programmatūras novēršanas programmatūru, lai atklātu un noņemtu izspiedējvīrusu un citus kaitīgus draudus. Pārliecinieties, ka pretvīrusu programmatūra tiek bieži atjaunināta, lai atpazītu jaunākos draudus.
• Izmantojiet modrību ar e-pasta pielikumiem un saitēm : uzmanieties no aizdomīgiem e-pasta ziņojumiem, jo īpaši tiem, kas nāk no nezināmiem sūtītājiem vai satur negaidītus pielikumus vai saites. Centieties nepiekļūt saitēm un nelejupielādēt pielikumus no nevēlamiem e-pastiem, jo tie var saturēt izspiedējvīrusu vai citu ļaunprātīgu programmatūru.
• Regulāri dublējiet datus : iestatiet stabilu dublēšanas stratēģiju, regulāri dublējot svarīgus datus ārējā cietajā diskā, mākoņkrātuves pakalpojumā vai tīklam pievienotā atmiņas (NAS) ierīcē. Pārliecinieties, ka dublējumkopijas tiek glabātas droši un nav tieši pieejamas no primārās sistēmas, lai novērstu to šifrēšanu ar izspiedējvīrusu.
• Izmantojiet spēcīgas, unikālas paroles : izveidojiet spēcīgas, sarežģītas paroles visiem kontiem un neizmantojiet vienu un to pašu paroli vairākos kontos. Apsveriet iespēju izmantot cienījamu paroļu pārvaldnieku, lai droši ģenerētu un uzglabātu paroles.
• Iespējot divu faktoru autentifikāciju (2FA) : iespējojiet divu faktoru autentifikāciju, lai maksimāli palielinātu savu kontu drošību. 2FA pieprasa lietotājiem iekļaut otru verifikācijas veidu, piemēram, paroli vai kodu, kas nosūtīts uz viņu mobilo ierīci.

Ieviešot šos proaktīvos pasākumus, lietotāji var samazināt iespējas kļūt par upuriem izspiedējvīrusu uzbrukumiem un labāk aizsargāt savus datus un ierīces.

FORCE Ransomware nomestā izpirkuma maksa ir šāda:

'Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.'