Scarab-DiskDoctor Ransomware

O Scarab-DiskDoctor Ransomware é um Trojan ransomware de criptografia que pertence a uma grande família de Trojans ransomware que teve um aumento nas suas atividades em maio-junho de 2018. Numerosos novos membros da família Scarab de ransomware foram liberados a partir de abril de 2018. O Scarab-DiskDoctor Ransomware foi observado pela primeira vez no início de junho e é idêntico aos seus antecessores, usando a criptografia AES para tornar os arquivos da vítima inacessíveis e exigir um pagamento para restaurar os arquivos afetados. As vítimas são solicitadas a contatar os criminosos por trás do Scarab-DiskDoctor Ransomware por meio de sua nota de resgate, que inclui um endereço de e-mail para contato.

O Perverso Ataque Executado pelo Scarab-DiskDoctor Ransomware

O Scarab-DiskDoctor Ransomware usa uma técnica de criptografia que é fácil de ser reconhecida porque o Scarab-DiskDoctor Ransomware adicionará a extensão de arquivo '.DiskDoct' a cada arquivo afetado. No entanto, o Scarab-DiskDoctor Ransomware, ao contrário de ameaças semelhantes, não altera os nomes dos arquivos afetados. O Scarab-DiskDoctor Ransomware irá criptografar uma ampla variedade de tipos de arquivos gerados pelo usuário, evitando os arquivos de sistema do Windows. Um aspecto do Scarab-DiskDoctor Ransomware que é incomum, no entanto, é que o Scarab-DiskDoctor Ransomware parece também ter como alvo os arquivos DLL no seu ataque, que muitas vezes são evitados por ameaças semelhantes. O Scarab-DiskDoctor Ransomware tem como alvo os seguintes tipos de arquivos com o seu componente de criptografia, o que os torna inacessíveis:

.3dm, .3g2, .3gp, .7zip, .aaf, .accdb, .aep, .aepx, .aet, .ai, .aif, .as, .as3, .asf, .asp, .asx, .avi, .bmp, .c, .class, .cpp, .cs, .csv, .dat, .db, .dbf, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .dwg, .dxf, .efx, .eps, .fla, .flv, .gif, .h, .idml, .iff, .indb, .indd, .indl, .indt, .inx, .jar, .java, .jpeg, .jpg, .js, .m3u, .m3u8, .m4u, .max, .mdb, .mid, .mkv, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .msg, .pdb, .pdf, .php, .plb, .pmd, .png, .pot, .potm, .potx, .ppam, .ppj, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prproj, .ps, .psd, .py, .ra, .rar, .raw, .rb, .rtf, .sdf, .sdf, .ses, .sldm, .sldx, .sql, .svg, .swf, .tif, .txt, .vcf, .vob, .wav, .wma, .wmv, .wpd, .wps, .xla, .xlam, .xll, .xlm, .xls, .xlsb, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xqx, .zip.

O Scarab-DiskDoctor Ransomware pode ser entregue na forma de um arquivo executável com um nome aleatório. O Scarab-DiskDoctor Ransomware criptografa os arquivos visados e, em seguida, entrega uma nota de resgate na forma de um arquivo de texto chamado 'COMO RECUPERAR ARQUIVOS DE ARQUIVO.TX'. O texto completo da nota de resgate do Scarab-DiskDoctor Ransomware diz:

'Aviso todos seus arquivos são criptografados !!!
Para receber o decodificador, você deve enviar um e-mail para o endereço de e-mail com seu ID pessoal:
DiskDoctor@protonmail.com
Em resposta, você receberá mais instruções.
ATENÇÃO !!!
* Não tente desinstalar o programa ou executar um software antivírus.
* Tentativas de descriptografar arquivos resultarão na perda de seus dados.
* Os decodificadores de outros usuários são incompatíveis com seus dados, pois cada usuário possui uma chave de criptografia exclusiva.
Seu identificador pessoal:
[string alfanumérica]'

A nota de resgate do Scarab-DiskDoctor Ransomware também inclui uma imagem ASCII, que é uma imagem desenhada inteiramente usando caracteres ASCII. Essa imagem descreve um diabo segurando um tridente.

Protegendo os Seus Dados contra Ameaças como o Scarab-DiskDoctor Ransomware

O aumento dos ataques da família Scarab não mostra sinais de estarem diminuindo. Os pesquisadores de segurança do PC suspeitam que é possível que os criminosos tenham lançado o Scarab na forma de um ataque Raas (Ransomware como um Serviço), que pode ser responsável pelas inúmeras variantes do ataque do Scarab-DiskDoctor Ransomware, que usam o mesmo código. O método de distribuição para entregar essas ameaças nos computadores das vítimas não parece variar muito. Essas ameaças são entregues usando anexos de e-mail de spam corrompidos ou por meio de publicidade comprometida. Os criminosos também podem instalá-los diretamente, aproveitando conexões RDP mal protegidas ou outras vulnerabilidades. A melhor proteção contra o Scarab-DiskDoctor Ransomware é ter backups dos arquivos para permitir a recuperação rápida de qualquer um dos arquivos afetados.

Atualização de 17 de Setembro de 2018 — 'mammon-decrypt@protonmail.com' Ransomware

O nome 'mammon-decrypt@protonmail.com' Ransomware está associado a uma versão modificada do Scarab-DiskDoctor Ransomware. Como você deve saber, o Scarab Ransomware é um negócio de Ransomware-como-Serviço (RaaS), no qual os desenvolvedores de malware ajudam outros usuários cibernéticos. Os agentes de ameaça implantam e usam Trojans de criptografia com base no seu código. Exemplos de Trojans clonados incluem o Scarab-Glutton Ransomware, o Scarab-Walker Ransomware e o Scarab-Osk Ransomware. O 'mammon-decrypt@protonmail.com' Ransomware é uma cópia modificada do Scarab-DiskDoctor Ransomware, que foi criado usando o Scarab RaaS Builder em primeiro lugar. O 'mammon-decrypt@protonmail.com' Ransomware foi relatado em 17 de setembro de 2018 e parece ser distribuído através de e-mails de spam e páginas de phishing.

A nova versão do Scarab-DiskDoctor Ransomware é conhecida por adicionar as extensões '.mammon-decrypt @ protonmail.com' e '.decoder-help @ protonmail.com' aos nomes dos arquivos. Por exemplo, 'James Bond-Goldfinger 1964.mp4' pode ser renomeado para 'James Bond-Goldfinger 1964.mp4.mammon-decrypt@protonmail.com' ou 'James Bond-Goldfinger 1964.mp4.decoder-help@protonmail.com 'dependendo da versão do Scarab-DiskDoctor Ransomware encontrado no dispositivo infectado. As notas de resgate usadas pelo 'mammon-decrypt@protonmail.com' Ransomware apresentam nomes como HOW TO RETURN FILES.TXT, HOW TO RECOVER ENCRYPTED FILES.TXT, HOW TO RECOVER ENCRYPTED FILES1.TXT and HOW TO RECOVER ENCRYPTED FILES2.TXT. As notas de resgate relacionadas às contas de e-mail "mammon-decrypt@protonmail.com" e "decoder-help@protonmail.com" oferecem a seguinte mensagem:

'Aviso todos os seus arquivos são criptografados !!!
Para receber o decodificador, você deve enviar um e-mail para
o endereço de e-mail com seu ID pessoal:
[endereço de e-mail]
Em resposta, você receberá mais instruções.
ATENÇÃO!!!
* Não tente desinstalar o programa ou execute
software antivírus.
* As tentativas de descriptografar arquivos resultarão na
perda de seus dados.
* Decodificadores de outros usuários são incompatíveis com o seu
dados, pois cada usuário tem uma chave de criptografia exclusiva.
Seu identificador pessoal:
=============
[caracteres aleatórios]
============='