R3tr0 Ransomware

Nowy wariant należący do rodziny ransomware Dharma jest wykorzystywany przez cyberprzestępców do blokowania danych swoich ofiar. Zagrożenie jest śledzone jako R3tr0 Ransomware, ale można je również spotkać jako RETRO-ENCRYPTED. Złośliwe oprogramowanie jest wyposażone w niemożliwą do złamania procedurę szyfrowania, która może wpływać na wszystkie ważne pliki ofiary – bazy danych, archiwa, dokumenty, obrazy itp.

Każdy zaszyfrowany plik będzie miał również drastycznie zmienioną nazwę. Zagrożenie najpierw doda ciąg identyfikatora specyficzny dla konkretnej ofiary. Wynika to z adresu e-mail pod kontrolą atakujących - w tym przypadku „r3tr0crypt@tuta.io”. Wreszcie, zablokowane pliki będą miały dodany „.r3tr0” jako nowe rozszerzenie pliku. Jak to jest typowe dla zagrożenia opartego na Dharmie, R3tr0 Ransomware zrzuci dwie notatki dotyczące okupu na naruszone urządzenia jako pliki „Info.hta” i „info.txt”.

Plik tekstowy będzie zawierał skróconą wersję żądania okupu, a użytkownicy będą po prostu kierowani do skontaktowania się z dwoma adresami e-mail atakujących. Pełny zestaw instrukcji znajduje się w wyskakującym okienku wygenerowanym z pliku .hta. Tutaj cyberprzestępcy ponownie powtórzyli swoje e-maile na „r3tr0crypt@tuta.io” i „r3tr0crypt@msgsafe.io”. Ostrzegają również swoje ofiary, że zmiana nazwy lub próba odszyfrowania danych za pomocą narzędzi innych firm może trwale uszkodzić dane i uniemożliwić odzyskanie plików.

Pełny tekst wiadomości z żądaniem okupu to:

RETRO-SZYFROWANE
r3tr0
Nie martw się, możesz zwrócić wszystkie swoje pliki!
Jeśli chcesz je przywrócić, napisz na e-mail: r3tr0crypt@tuta.io TWÓJ ID -
Jeśli nie odpowiesz pocztą w ciągu 12 godzin, napisz do nas na inny adres e-mail: r3tr0crypt@msgsafe.io
UWAGA!
Zalecamy bezpośredni kontakt z nami, aby uniknąć przepłacania agentów
Nie zmieniaj nazw zaszyfrowanych plików.
Nie próbuj odszyfrowywać danych za pomocą oprogramowania firm trzecich, może to spowodować trwałą utratę danych.
Odszyfrowanie Twoich plików za pomocą osób trzecich może spowodować wzrost ceny (doliczają swoją opłatę do naszej) lub możesz stać się ofiarą oszustwa.

Instrukcje w pliku tekstowym to:

wszystkie Twoje dane zostały nam zablokowane
Chcesz wrócić?
napisz e-mail r3tr0crypt@tuta.io lub r3tr0crypt@msgsafe.io