R3tr0 Ransomware
En ny variant som tilhører Dharma-ransomware- familien blir brukt av nettkriminelle for å låse dataene til ofrene deres. Trusselen spores som R3tr0 Ransomware, men kan også oppstå som RETRO-KRYPTERT. Skadevaren er utstyrt med en krypteringsrutine som ikke kan knekkes, som kan påvirke alle offerets viktige filer – databaser, arkiver, dokumenter, bilder osv.
Hver kryptert fil vil også få navnet endret drastisk. Trusselen vil først legge til en ID-streng som er spesifikk for det aktuelle offeret. Det vil følge det med en e-postadresse under kontroll av angriperne - 'r3tr0crypt@tuta.io,' i dette tilfellet. Til slutt vil de låste filene ha '.r3tr0' lagt til som en ny filtype. Som er typisk for en Dharma-basert trussel, vil R3tr0 Ransomware slippe to løsepenger på enhetene som brytes som en 'Info.hta'- og 'info.txt'-filer.
Tekstfilen vil inneholde en avkortet versjon av løsepengeren, der brukere rett og slett blir henvist til å kontakte angripernes to e-postadresser. Hele settet med instruksjoner finnes i popup-vinduet som er generert fra .hta-filen. Her gjentok trusselaktørene igjen e-postene sine på 'r3tr0crypt@tuta.io' og 'r3tr0crypt@msgsafe.io.' De advarer også ofrene om at å gi nytt navn eller prøve å dekryptere dataene med tredjepartsverktøy kan permanent skade dataene og gjøre filene uopprettelige.
Den fullstendige teksten til den løsepengekrevende meldingen er:
RETROKRYPTERT
r3tr0
Ikke bekymre deg, du kan returnere alle filene dine!
Hvis du vil gjenopprette dem, skriv til e-posten: r3tr0crypt@tuta.io ID-en din -
Hvis du ikke har svart per post innen 12 timer, skriv til oss på en annen mail:r3tr0crypt@msgsafe.io
MERK FØLGENDE!
Vi anbefaler at du kontakter oss direkte for å unngå overbetalende agenter
Ikke gi nytt navn til krypterte filer.
Ikke prøv å dekryptere dataene dine ved hjelp av tredjepartsprogramvare, det kan føre til permanent tap av data.
Dekryptering av filene dine ved hjelp av tredjeparter kan føre til økt pris (de legger til gebyret vårt) eller du kan bli et offer for en svindel.
Instruksjonene i tekstfilen er:
alle dataene dine er låst hos oss
Vil du tilbake?
skriv e-post r3tr0crypt@tuta.io eller r3tr0crypt@msgsafe.io
