Mirror Ransomware

Após analisar minuciosamente possíveis ameaças de malware, os pesquisadores identificaram conclusivamente o MIRROR como uma variante de ransomware. O objetivo principal da ameaça MIRROR é criptografar arquivos presentes em dispositivos comprometidos. Além disso, ele renomeia os arquivos e emite duas notas de resgate – uma na forma de uma janela pop-up e a outra como um arquivo de texto chamado ‘info-MIRROR.txt’.

O MIRROR Ransomware emprega uma convenção de nomenclatura específica para os arquivos que ele criptografa, anexando o ID da vítima, o endereço de e-mail 'tpyrcedrorrim@tuta.io' e a extensão '.Mr'. Por exemplo, ele transforma '1.pdf' em '1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr,' e '2.png' torna-se '2.png.id-9ECFA74E.[tpyrcedrorrim@ tuta.io].Mr,' e assim por diante. Esta ameaça específica foi categorizada como uma variante da família Dharma Ransomware .

O MIRROR Ransomware vai Além da Criptografia de Arquivos

Além de encriptar ficheiros, o MIRROR emprega medidas estratégicas para comprometer ainda mais a segurança do sistema visado. Uma dessas táticas envolve desativar o firewall, aumentando assim a vulnerabilidade do sistema às atividades maliciosas orquestradas pelo ransomware. Além disso, o MIRROR toma ações deliberadas para apagar as Shadow Volume Copies, eliminando efetivamente possíveis pontos de restauração e dificultando os esforços de recuperação.

O MIRROR aproveita as vulnerabilidades dos serviços do Remote Desktop Protocol (RDP) como principal vetor de infecção. Isso normalmente envolve a exploração de credenciais de contas fracas por meio de métodos como força bruta e ataques de dicionário. Ao aproveitar essas técnicas, o ransomware obtém acesso não autorizado a sistemas, especialmente aqueles com segurança de conta gerenciada de forma inadequada.

Além disso, o MIRROR apresenta a capacidade de extrair dados de localização, permitindo discernir o contexto geográfico dos sistemas infectados. Notavelmente, possui a capacidade de excluir locais predeterminados do seu escopo de extração de dados. Além disso, o MIRROR incorpora mecanismos de persistência, garantindo que ele possa manter uma posição segura no sistema comprometido por um longo período.

As Vítimas do MIRROR Ransomware são Extorquidas por Dinheiro

A nota de resgate do MIRROR Ransomware serve como uma comunicação dos invasores para a vítima, afirmando explicitamente que todos os arquivos da vítima foram criptografados. Ele descreve um caminho potencial para restauração de arquivos, instruindo a vítima a iniciar o contato através de um endereço de e-mail específico (tpyrcedrorrim@tuta.io) e fornecendo um identificador exclusivo.

Como meio alternativo de comunicação, a nota também fornece outro endereço de e-mail (mirrorrorrim@cock.li). Notavelmente, a nota desencoraja fortemente o uso de intermediários para comunicação, citando riscos potenciais como cobrança excessiva, débito injustificado e rejeição de transações. Os atacantes afirmam a sua capacidade de fornecer serviços de recuperação de dados encriptados e oferecem garantias, incluindo uma demonstração de recuperação envolvendo até três ficheiros para comprovar a sua proficiência.

Além disso, a nota de resgate emite um aviso de advertência à vítima, desaconselhando explicitamente a renomeação de arquivos criptografados. Ele também alerta contra a tentativa de descriptografia por meio de software de terceiros, enfatizando as possíveis consequências da perda permanente de dados ou da suscetibilidade a fraudes. A intenção é orientar a vítima sobre o curso de ação mais seguro para maximizar as chances de recuperação bem-sucedida dos arquivos e, ao mesmo tempo, minimizar riscos potenciais.

Tome Medidas para Fortalecer os Seus Dispositivos contra Infecções de Ransomware

 SO ransomware representa uma ameaça significativa à segurança dos dispositivos digitais, com potenciais consequências que vão desde a perda de dados até à extorsão financeira. A implementação de medidas proativas é crucial para fortalecer os dispositivos contra tais infecções. Aqui estão cinco etapas eficazes que os usuários podem seguir:

• Atualize regularmente os sistemas operacionais e software : Manter os sistemas operacionais e software atualizados é vital, pois as atualizações geralmente incluem patches de segurança que abordam vulnerabilidades. Verifique e aplique atualizações regularmente para reduzir o risco de ransomware explorar pontos fracos conhecidos.
• Instalar e manter software de segurança : A utilização de software de segurança confiável oferece uma camada adicional de defesa contra ransomware. Certifique-se de que o programa antimalware seja atualizado regularmente e realize verificações programadas para detectar e eliminar ameaças potenciais antes que elas possam comprometer seu dispositivo.
• Tenha cuidado com anexos e links de e-mail : O ransomware geralmente se infiltra nos sistemas por meio de e-mails de phishing contendo anexos ou links maliciosos. Tenha muito cuidado ao abrir e-mails de remetentes desconhecidos, tente não clicar em links suspeitos e evite baixar anexos, a menos que sua legitimidade seja verificada.
• Faça backup dos dados regularmente : Criar backups regulares de dados essenciais é uma medida preventiva crítica. Em um ataque de ransomware, backups recentes permitem que os usuários restaurem seus arquivos sem sucumbir à extorsão. Armazene backups em um dispositivo externo ou em um serviço de nuvem seguro.
• Implementar medidas de segurança de rede : O fortalecimento da segurança da rede pode impedir ataques de ransomware. Utilize firewalls e sistemas de detecção/prevenção de intrusões, empregue senhas exclusivas e fortes para todos os dispositivos e contas e considere segmentar redes para limitar o impacto potencial de uma infecção em todo o sistema.

Ao adotar estas medidas, os utilizadores podem aumentar significativamente a resiliência dos seus dispositivos contra ransomware, salvaguardando os seus dados valiosos e mantendo a integridade do seu ambiente digital.

O texto completo da principal nota de resgate deixada pelo MIRROR Ransomware é:

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

O arquivo de texto descartado pelo MIRROR Ransomware contém a seguinte mensagem:

'todos os seus dados foram bloqueados para nós

Você quer voltar?

escreva para o e-mail tpyrcedrorrim@tuta.io ou mirrorrorrim@cock.li'