FORCE Ransomware

Under en undersøkelse av potensielle trusler mot skadelig programvare, avdekket forskere FORCE Ransomware. Når den infiltrerer en enhet, starter FORCE kryptering på tvers av ulike filtyper, som omfatter bilder, dokumenter, regneark og mer. Angripernes mål er å holde de krypterte dataene som gisler og tvinge berørte ofre til å betale for dekrypteringen. For å identifisere ofre og etablere kommunikasjon, legger løsepengevaren til unike identifikatorer, cyberkriminelles e-postadresser og en ".FORCE"-utvidelse til filnavnene til krypterte filer. For eksempel vil en fil opprinnelig kalt '1.png' bli transformert til '1.png.id[9ECFA74E-3545].[data199@mailum.com].FORCE.'

Når krypteringsprosessen er fullført, viser systemet identiske løsepenger i to formater: et popup-vindu ('info.hta') og en tekstfil ('info.txt'). Disse meldingene vises på skrivebordet og i alle kataloger som inneholder krypterte filer. Ytterligere analyse avslørte at FORCE tilhører Phobos Ransomware- familien.

FORCE Ransomware presser ofre for penger

Løsepengene utstedt av FORCE understreker at offerets filer er kryptert og at sensitive data er kompromittert. For visstnok å få tilbake tilgang til filene deres, blir offeret bedt om å betale løsepenger kun ved å bruke Bitcoin-kryptovalutaen. Unnlatelse av å etterkomme de oppførte kravene vil resultere i salg av den stjålne informasjonen. Før du foretar noen betalinger, får offeret muligheten til å teste dekrypteringsprosessen gratis, om enn med visse begrensninger.

Meldingene advarer mot å endre de krypterte filene eller bruke tredjeparts gjenopprettingsverktøy, da slike handlinger kan gjøre dataene uopprettelige. I tillegg blir offeret advart om at det å søke hjelp fra tredjeparter kan øke deres økonomiske tap.

FORCE Ransomware tar tiltak for å forhindre enkel gjenoppretting av låste data

Dette truende programmet, en del av Phobos Ransomware-familien, er kjent for sin metodiske tilnærming til kryptering. I motsetning til noen løsepengevarevarianter som gjør infiserte maskiner helt ubrukelige, retter Phobos-malwaren seg selektivt mot filer for kryptering, og unngår kritiske systemfiler for å sikre at systemet forblir funksjonelt. Den krypterer både lokalt lagrede filer og de som deles over nettverk og avslutter prosesser knyttet til åpne filer for å forhindre unntak basert på at filer er "i bruk", for eksempel databaseprogrammer eller tekstfillesere.

For å forhindre dobbel kryptering opprettholder Phobos Ransomware en ekskluderingsliste over populære løsepengeprogrammer. Filer som allerede er låst av programvare på denne listen forblir upåvirket. I tillegg sletter Phobos Shadow Volume Copies, et vanlig gjenopprettingsalternativ, for ytterligere å hindre forsøk på datagjenoppretting.

For å sikre utholdenhet på de brutte enhetene, kopierer skadevaren seg selv til %LOCALAPPDATA%-banen og registreres med spesifikke Run-nøkler, og sikrer at den automatisk starter med hver omstart av systemet. Interessant nok kan Phobos løsepengevare avstå fra å angripe enheter basert på deres geolokalisering, spesielt de i økonomisk svake regioner eller geopolitisk justerte land.

Dekryptering av data låst av løsepengevare uten innblanding fra nettkriminelle er vanligvis umulig. Selv om ofrene overholder krav om løsepenger, er det ingen garanti for at de vil motta de lovede dekrypteringsnøklene eller programvaren. Derfor unnlater å betale løsepenger ikke bare å garantere datagjenoppretting, men opprettholder også ulovlige aktiviteter.

Selv om fjerning av løsepengevare fra operativsystemet forhindrer ytterligere kryptering, gjenoppretter det ikke kompromitterte filer. Den eneste pålitelige løsningen er å gjenopprette filer fra en sikkerhetskopi hvis en er tilgjengelig.

Ikke ta sjanser med sikkerheten til enhetene og dataene dine

Brukere kan forbedre forsvaret av dataene og enhetene sine mot løsepengevaretrusler ved å implementere en flerlags tilnærming til cybersikkerhet. Her er noen effektive strategier:

• Hold programvaren oppdatert : Oppdater operativsystemer, programvare og antivirusprogrammer regelmessig for å korrigere sikkerhetssårbarheter og beskytte mot kjente utnyttelser. Aktiver automatiske oppdateringer når det er mulig.
• Installer pålitelig sikkerhetsprogramvare : Bruk anerkjent anti-malware-programvare for å oppdage og fjerne løsepengeprogramvare og andre skadelige trusler. Sørg for at antivirusprogramvaren oppdateres ofte for å gjenkjenne de siste truslene.
• Utvis årvåkenhet med e-postvedlegg og koblinger : Vær på vakt mot mistenkelige e-poster, spesielt de fra ukjente avsendere eller som inneholder uventede vedlegg eller lenker. Prøv å ikke få tilgang til lenker eller laste ned vedlegg fra uønskede e-poster, da de kan inneholde løsepengeprogramvare eller annen skadelig programvare.
• Sikkerhetskopier data regelmessig : Sett opp en robust sikkerhetskopieringsstrategi ved å regelmessig sikkerhetskopiere viktige data til en ekstern harddisk, skylagringstjeneste eller nettverkstilkoblet lagringsenhet (NAS). Sørg for at sikkerhetskopier lagres sikkert og ikke er direkte tilgjengelige fra primærsystemet for å forhindre at de blir kryptert av løsepengeprogramvare.
• Bruk sterke, unike passord : Lag sterke, komplekse passord for alle kontoer og ikke bruk det samme passordet på tvers av flere kontoer. Vurder muligheten for å bruke en anerkjent passordbehandler for å generere og lagre passord sikkert.
• Aktiver tofaktorautentisering (2FA) : Aktiver tofaktorautentisering for å maksimere sikkerheten til kontoene dine. 2FA krever at brukere inkluderer en annen form for bekreftelse, for eksempel passordet eller en kode sendt til mobilenheten.

Ved å ta i bruk disse proaktive tiltakene kan brukere redusere mulighetene for å bli ofre for løsepengevareangrep og bedre beskytte dataene og enhetene deres betydelig.

Løsepengene som ble sendt av FORCE Ransomware er:

'Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.'