Phobos Ransomware

Phobos Ransomware Opis

Zrzut ekranu Phobos Ransomware Phobos Ransomware to trojan szyfrujący oprogramowanie ransomware, który został po raz pierwszy zaobserwowany 21 października 2017 r. Phobos Ransomware jest wykorzystywany do atakowania użytkowników komputerów w Europie Zachodniej i Stanach Zjednoczonych i dostarcza ofiarom wiadomości z żądaniem okupu w języku angielskim. Głównym sposobem dystrybucji Phobos Ransomware jest używanie załączników do wiadomości spamowych, które mogą pojawiać się jako dokumenty Microsoft Word z włączonymi makrami. Te skrypty makr są przeznaczone do pobierania i instalowania Phobos Ransomware na komputerze ofiary podczas uzyskiwania dostępu do uszkodzonego pliku. Jest prawdopodobne, że Phobos Ransomware jest niezależnym zagrożeniem, ponieważ nie wydaje się należeć do ogromnej rodziny dostawców Ransomware as a Service (RaaS).


W tym tygodniu w Malware Ep2: Phobos Ransomware atakuje Europę Zachodnią i Stany Zjednoczone

Jak zidentyfikować pliki zaszyfrowane przez oprogramowanie ransomware Phobos?

Podobnie jak większość innych podobnych zagrożeń, Phobos Ransomware działa poprzez szyfrowanie plików ofiary przy użyciu silnego algorytmu szyfrowania. Szyfrowanie sprawia, że pliki są niedostępne, umożliwiając Phobos Ransomware przejęcie danych ofiary jako zakładnika, dopóki ofiara nie zapłaci okupu. Phobos Ransomware będzie atakować pliki generowane przez użytkowników, które mogą zawierać pliki z następującymi rozszerzeniami:

.aif, .apk, .arj, .asp, .bat, .bin, .cab, .cda, .cer, .cfg, .cfm, .cpl, .css, .csv, .cur, .dat, .deb , .dmg, .dmp, .doc, .docx, .drv, .gif, .htm, .html, .icns, .iso, .jar, .jpeg, .jpg, .jsp, .log, .mid, . mp3, .mp4, .mpa, .odp, .ods, .odt, .ogg, .part, .pdf, .php, .pkg, .png, .ppt, .pptx, .psd, .rar, .rpm, .rss, .rtf, .sql, .svg, .tar.gz, .tex, .tif, .tiff, .toast, .txt, .vcd, .wav, .wks, .wma, .wpd, .wpl, .wps, .wsf, .xlr, .xls, .xlsx, .zip.

Jak można zauważyć na powyższej liście, Phobos Ransomware atakuje dokumenty, multimedia, obrazy i inne powszechnie używane pliki i szyfruje je za pomocą szyfrowania AES 256. Po zaszyfrowaniu plików ofiary, Phobos Ransomware komunikuje się ze swoim serwerem dowodzenia i kontroli, aby przekazywać dane o zainfekowanym komputerze, a także otrzymywać dane konfiguracyjne. Phobos Ransomware zidentyfikuje pliki zaszyfrowane przez jego atak, zmieniając ich nazwy na następujący ciąg:

..ID[osiem losowych znaków].[ottozimmerman@protonmail.ch].PHOBOS

Żądania okupu przez Phobos Ransomware

Phobos Ransomware dostarcza żądanie okupu w postaci okna programu z tytułem „Twoje pliki są zaszyfrowane!” po zaszyfrowaniu i zmianie nazwy plików ofiary. To okno programu zawiera logo „PHOBOS” w jednym z rogów okna i twierdzi, że ofiara musi zapłacić okup, aby przywrócić zainfekowane pliki. Informacja o okupie, którą Phobos Ransomware wyświetla podczas ataku na komputer ofiary, brzmi:

'Wszystkie twoje pliki są zaszyfrowane
Witaj świecie
Dane na tym komputerze przekształciły się w bezużyteczny kod binarny
Aby powrócić do normalności, skontaktuj się z nami pod adresem e-mail: OttoZimmerman@protonmail.ch
Ustaw temat wiadomości na „Identyfikator szyfrowania: [8 losowych znaków]”
Interesujące fakty:
1. Z biegiem czasu koszty rosną, nie trać czasu
2. Tylko my możemy Ci pomóc, na pewno nikt inny.
3. ZACHOWAJ OSTROŻNOŚĆ Jeśli nadal próbujesz znaleźć inne rozwiązania problemu, wykonaj kopię zapasową plików, na których chcesz poeksperymentować. baw się z nimi. W przeciwnym razie mogą zostać trwale uszkodzone.
4. Wszelkie usługi, które oferują Ci pomoc lub po prostu odbierają Ci pieniądze i znikają, lub będą pośrednikami między nami, o zawyżonej wartości. Ponieważ antidotum jest tylko wśród twórców wirusa
FOBOS'

Radzenie sobie z oprogramowaniem Phobos Ransomware

Niestety, gdy Phobos Ransomware zaszyfruje pliki, przywrócenie tych plików bez klucza deszyfrującego staje się niemożliwe. Z tego powodu ważne jest, aby podjąć środki zapobiegawcze, aby zapewnić dobrą ochronę danych. Najlepszą ochroną przed zagrożeniami, takimi jak Phobos Ransomware, jest posiadanie niezawodnego systemu tworzenia kopii zapasowych. Posiadanie kopii zapasowych wszystkich plików oznacza, że ofiary ataku Phobos Ransomware mogą szybko i niezawodnie przywrócić swoje dane po ataku.

Aktualizacja 4 stycznia 2019 r. — Ransomware „Job2019@tutanota.com”

Ransomware „Job2019@tutanota.com” jest sklasyfikowany jako nieco zaktualizowany wariant Phobos Ransomware, który został początkowo wydany w październiku 2017 roku. Ransomware „Job2019@tutanota.com” pojawia się nieco ponad rok później bez żadnych istotnych aktualizacji. Ransomware „Job2019@tutanota.com” zostało zidentyfikowane w styczniu 2019 r. i wydaje się rozprzestrzeniać w taki sam sposób, jak jego poprzednik. Zagrożenie jest dostarczane za pomocą skryptów makr osadzonych w plikach programu Microsoft Word, które mogą być dołączone do pozornie oficjalnych aktualizacji z mediów społecznościowych i sklepów internetowych. Ransomware „Job2019@tutanota.com” prawdopodobnie utworzy tymczasowy folder na głównym dysku systemowym i załaduje proces o losowej nazwie w Menedżerze zadań. Trojan ransomware „Job2019@tutanota.com” jest skonfigurowany do usuwania migawek Shadow Volume przed zakodowaniem zdjęć, tekstu, muzyki i wideo. Wiadomo, że nowy wariant promuje usługi deszyfrowania za pośrednictwem dwóch kont e-mail, a mianowicie — „Job2019@tutanota.com” i „Cadillac.407@aol.com”. Notatka dotycząca okupu jest stylizowana na małe okno programu w tym samym odcieniu niebieskiego, co domyślny motyw systemu Windows 10. Zgłoszono, że trojan wyświetla okno o nazwie „Twoje pliki są zaszyfrowane!”. Wygląda na to, że okno jest ładowane z „Phobos.hta”, który jest upuszczany do folderu Temp w systemie Windows i brzmi:

'Wszystkie twoje pliki są zaszyfrowane
Witaj świecie
Dane na tym komputerze zamieniły się w bezużyteczny kod binarny
Aby powrócić do normalności, skontaktuj się z nami pod adresem e-mail: OttoZimmerman@protonmail.ch
Ustaw temat wiadomości na „Identyfikator szyfrowania: [numer 8-cyfrowy]
1. Z biegiem czasu koszty rosną, nie trać czasu
2. Tylko my możemy Ci pomóc, na pewno nikt inny.
3. BĄDŹ OSTROŻNY !!! Jeśli nadal próbujesz znaleźć inne rozwiązania problemu, wykonaj kopię zapasową plików, na których chcesz poeksperymentować, i pobaw się nimi. W przeciwnym razie mogą zostać trwale uszkodzone
4. Wszelkie usługi, które oferują Ci pomoc lub po prostu odbierają Ci pieniądze i znikają, lub będą pośrednikami między nami, o zawyżonej wartości. Ponieważ antidotum jest tylko wśród twórców wirusa”

Niektóre warianty ransomware „Job2019@tutanota.com” wyświetlają proste okno dialogowe zamiast „Twoje pliki są zaszyfrowane!” ekran, który mówi:

'Wszystkie twoje pliki są zaszyfrowane
Aby odszyfrować swoje pliki, skontaktuj się z nami za pomocą tego adresu e-mail: [adres e-mail] Ustaw temat „Identyfikator szyfrowania: [8-cyfrowy numer].
Jako dowód oferujemy bezpłatne odszyfrowanie plików testowych. Możesz je dołączyć do swojego e-maila, a my wyślemy Ci odszyfrowane.
Cena deszyfrowania rośnie z czasem, pospiesz się i uzyskaj zniżkę.
Odszyfrowywanie za pomocą stron trzecich może prowadzić do oszustwa lub podwyższenia ceny”.

Dane, których dotyczy problem, mogą otrzymać jedno z dwóch rozszerzeń — „.ID-[8-cyfrowy numer].[Job2019@tutanota.com].phobos” lub „.ID-[8-cyfrowy numer].[Job2019@tutanota.com].phobos”. . Na przykład nazwa „Sabaton-Carolus Rex.mp3” może zostać zmieniona na „Sabaton-Carolus Rex.mp3.ID-91651720.[Job2019@tutanota.com].phobos” i „Sabaton-Carolus Rex.mp3.ID-68941751”. [Job2019@tutanota.com].phobos.' Zalecamy unikanie negocjacji z podmiotami ransomware, ponieważ możesz nie otrzymać deszyfratora. Powinieneś użyć kopii zapasowych danych, aby odbudować strukturę plików i uruchomić pełne skanowanie systemu, aby usunąć zasoby, które mogły zostać pozostawione przez oprogramowanie ransomware „Job2019@tutanota.com”.