Tycoon Ransomware

O Tycoon Ransomware é um novo Trojan de criptografia de arquivos que parece ter sido usado pela primeira vez em dezembro de 2019. Nas últimas semanas, a atividade do Tycoon Ransomware aumentou, o que atraiu a atenção de especialistas em malware. O Tycoon Ransomware tem como alvo principal pequenas e médias empresas localizadas em todo o mundo.

O Tycoon Ransomware é escrito na linguagem de programação JAVA. Um fato interessante sobre o Tycoon Ransomware é que ele não é propagado pelos métodos tradicionais de distribuição usados pelos autores dos armários de dados - e-mails de phishing, malvertising, rastreadores de torrents, etc. sistemas direcionados que foram violados anteriormente, o que aponta para um ataque de vários estágios.

Os invasores usaram serviços RDP (Protocolo da Area de Trabalho Remota) mal protegidos para entregar o Tycoon Ransomware nos computadores visados. Antes de iniciar o Tycoon Ransomware, os atacantes executarão várias tarefas, incluindo:

• Desativar aplicativos anti-malware usando ferramentas publicamente disponíveis, como o utilitário ProcessHacker.
• Alterar as credenciais de logon do serviço Windows Active Directory para impedir que os administradores acessem o sistema comprometido.
• Implantar um backdoor no host infectado.
• Localizar e marcar todos os backups de arquivos para que a ameaça os criptografe.

Em seguida, o Tycoon Ransomware é implantado por meio de um script de shell. Os hosts infectados continham um arquivo em lotes do Windows juntamente com um script de shell do Linux. Isso significa que o Tycoon Ransomware pode afetar os sistemas Windows e Linux, e é provavelmente por isso que a ameaça foi gravada na linguagem de programação JAVA, pois ela é compatível com ambos.

Os arquivos criptografados pelo Tycoon Ransomware contém as extensões '.tahnos' ou '.grinch'. O Tycoon Ransomware lança uma nota de resgate denominada 'decryption.txt' no host infectado. Os criadores do Tycoon Ransomware exigem o pagamento de uma taxa de resgate em Bitcoin e afirmam que a taxa será aumentada em 10% todos os dias até que a vítima pague. Os invasores forneceram um endereço de e-mail para o contato - 'ppp4ddd@protonmail.com'.

Infelizmente, o Tycoon Ransomware ainda não pode ser descriptografado de graça. No entanto, não é aconselhável cooperar com e pagar os cibercriminosos.