FORCE Ransomware

Durante um exame de possíveis ameaças de malware, os pesquisadores descobriram o FORCE Ransomware. Depois de se infiltrar em um dispositivo, o FORCE inicia a criptografia em vários tipos de arquivos, abrangendo imagens, documentos, planilhas e muito mais. O objetivo dos invasores é manter os dados criptografados como reféns e coagir as vítimas afetadas a pagar pela sua descriptografia. Para identificar as vítimas e estabelecer comunicação, o ransomware anexa identificadores exclusivos, os endereços de e-mail dos criminosos cibernéticos e uma extensão '.FORCE' aos nomes dos ficheiros encriptados. Por exemplo, um arquivo inicialmente denominado '1.png' seria transformado em '1.png.id[9ECFA74E-3545].[data199@mailum.com].FORCE.'

Após a conclusão do processo de encriptação, o sistema exibe notas de resgate idênticas em dois formatos: uma janela pop-up ('info.hta') e um ficheiro de texto ('info.txt'). Essas mensagens aparecem na área de trabalho e em todos os diretórios que contêm arquivos criptografados. Uma análise mais aprofundada revelou que FORCE pertence à família Phobos Ransomware.

O FORCE Ransomware Extorque Vítimas por Dinheiro

As notas de resgate emitidas pela FORCE enfatizam que os arquivos da vítima foram criptografados e que dados confidenciais foram comprometidos. Para supostamente recuperar o acesso aos seus arquivos, a vítima é instruída a pagar um resgate usando apenas a criptomoeda Bitcoin. O não cumprimento das exigências listadas resultará na venda das informações roubadas. Antes de efetuar qualquer pagamento, a vítima tem a opção de testar o processo de desencriptação gratuitamente, embora com certas limitações.

As mensagens alertam contra a alteração dos ficheiros encriptados ou a utilização de ferramentas de recuperação de terceiros, pois tais ações podem tornar os dados irrecuperáveis. Além disso, a vítima é avisada de que procurar ajuda de terceiros pode agravar as suas perdas financeiras.

O FORCE Ransomware Toma Medidas para Impedir a Fácil Recuperação de Dados Bloqueados

Este programa ameaçador, parte da família Phobos Ransomware, é conhecido pela sua abordagem metódica à criptografia. Ao contrário de algumas variantes de ransomware que tornam as máquinas infectadas completamente inoperantes, o malware Phobos visa seletivamente os arquivos para criptografia, evitando arquivos críticos do sistema para garantir que o sistema permaneça funcional. Ele criptografa arquivos armazenados localmente e aqueles compartilhados em redes e encerra processos associados a arquivos abertos para evitar isenções baseadas em arquivos que estão “em uso”, como programas de banco de dados ou leitores de arquivos de texto.

Para evitar a criptografia dupla, o Phobos Ransomware mantém uma lista de exclusão de programas ransomware populares. Os arquivos já bloqueados por software nesta lista não são afetados. Além disso, Phobos exclui as Shadow Volume Copies, uma opção de recuperação comum, para frustrar ainda mais as tentativas de restauração de dados.

Para garantir a persistência nos dispositivos violados, o malware copia-se para o caminho %LOCALAPPDATA% e regista-se com chaves Run específicas, garantindo que é iniciado automaticamente a cada reinicialização do sistema. Curiosamente, o ransomware Phobos pode abster-se de atacar dispositivos com base na sua geolocalização, especialmente aqueles em regiões economicamente fracas ou países geopoliticamente alinhados.

Normalmente, é impossível desencriptar dados bloqueados por ransomware sem a intervenção de criminosos cibernéticos. Mesmo que as vítimas cumpram os pedidos de resgate, não há garantia de que receberão as chaves ou software de desencriptação prometidos. Portanto, pagar o resgate não só não garante a recuperação dos dados, mas também perpetua atividades ilegais.

Embora a remoção do ransomware do sistema operacional evite criptografia adicional, ela não restaura os arquivos comprometidos. A única solução confiável é recuperar arquivos de um backup, se houver algum disponível.

Não Se Arrisque com a Segurança dos Seus Dispositivos e Dados

Os usuários podem aprimorar a defesa de seus dados e dispositivos contra ameaças de ransomware implementando uma abordagem multicamadas à segurança cibernética. Aqui estão algumas estratégias eficazes:

• Mantenha o software atualizado : Atualize regularmente os sistemas operacionais, aplicativos de software e programas antivírus para corrigir vulnerabilidades de segurança e proteger contra explorações conhecidas. Habilite atualizações automáticas sempre que possível.
• Instale um software de segurança confiável : Use um software antimalware confiável para detectar e remover ransomware e outras ameaças prejudiciais. Certifique-se de que o software antivírus seja atualizado com frequência para reconhecer as ameaças mais recentes.
• Exercite vigilância com anexos e links de e-mail : Tenha cuidado com e-mails suspeitos, especialmente aqueles de remetentes desconhecidos ou que contenham anexos ou links inesperados. Tente não acessar links ou baixar anexos de e-mails não solicitados, pois eles podem conter ransomware ou outro malware.
• Faça backup de dados regularmente : Configure uma estratégia de backup robusta fazendo backup regularmente de dados importantes em um disco rígido externo, serviço de armazenamento em nuvem ou dispositivo de armazenamento conectado à rede (NAS). Certifique-se de que os backups sejam armazenados de forma segura e não sejam acessíveis diretamente no sistema primário para evitar que sejam criptografados por ransomware.
• Use senhas fortes e exclusivas : Crie senhas fortes e complexas para todas as contas e não use a mesma senha em várias contas. Considere a possibilidade de usar um gerenciador de senhas confiável para gerar e armazenar senhas com segurança.
• Habilitar autenticação de dois fatores (2FA) : Habilite a autenticação de dois fatores para maximizar a segurança de suas contas. O 2FA exige que os usuários incluam uma segunda forma de verificação, como senha ou código enviado ao dispositivo móvel.

• Eduque os usuários : Eduque você e outras pessoas sobre os perigos do ransomware e como reconhecer e evitar ameaças potenciais. Treine os funcionários sobre práticas eficazes de segurança cibernética, incluindo como reconhecer e-mails de phishing e sites suspeitos.

• Limitar privilégios do usuário : Restrinja os privilégios do usuário apenas ao necessário para sua função de trabalho. Limitar as permissões do usuário pode ajudar a evitar que o ransomware se espalhe lateralmente pelas redes e acesse dados confidenciais.

Ao adotar essas medidas proativas, os usuários podem diminuir as oportunidades de serem vítimas de ataques de ransomware e proteger melhor seus dados e dispositivos de forma significativa.

A nota de resgate deixada pelo FORCE Ransomware é:

'Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.'