Rorschach Ransomware

ransomware i njohur si Rorschach, ose BabLock, është krijuar për të enkriptuar skedarët dhe për të synuar bizneset e vogla dhe të mesme, si dhe organizatat industriale. Kur Rorschach infekton një sistem, ai jo vetëm që kodon të dhënat, por gjithashtu shton një varg të rastësishëm karakteresh të ndjekur nga një numër dyshifror në fund të emrave të skedarëve. Qëllimi i këtij modifikimi është që ta bëjë më të vështirë për viktimat të vërejnë se të dhënat e tyre janë bllokuar.

Rorschach lëshon gjithashtu një skedar shënimesh shpërblyese të quajtur '_r_e_a_d_m_e.txt' dhe ndryshon sfondin aktual të desktopit për të frikësuar më tej viktimën. Vargu i bashkangjitur i karaktereve të rastit dhe numri dyshifror mund të ndryshojnë në varësi të variantit të veçantë të ransomware.

Të dhënat e ndikuara nga Ransomware Rorschach bëhen të papërdorshme

Shënimi i shpërblimit të lënë nga sulmuesit në sistemin e infektuar shërben si një njoftim se sistemi i tyre është komprometuar, të dhënat e tyre janë koduar dhe kopjet rezervë të tyre janë fshirë. Shënimi mund të përmend gjithashtu se informacioni konfidencial është vjedhur nga sulmuesit.

Shënimi i shpërblimit zakonisht i udhëzon viktimat që të mos kontaktojnë policinë, FBI-në ose autoritetet e tjera derisa të bëhet pagesa e shpërblimit. Mund të dekurajojë gjithashtu viktimat që të kontaktojnë kompanitë e rikuperimit të të dhënave, duke pretenduar se janë ndërmjetës që do të paguajnë një shumë të madhe parash pa ofruar asnjë ndihmë.

Shënimi i shpërblimit paralajmëron gjithashtu viktimat që të mos përpiqen të deshifrojnë vetë skedarët ose të modifikojnë shtesat e skedarëve, pasi kjo mund ta bëjë të pamundur rikuperimin e të dhënave të koduara. Sulmuesit ofrojnë dy adresa emaili për viktimat që t'i kontaktojnë dhe të dërgojnë disa skedarë për deshifrim provë - 'wvpater@onionmail.org' dhe 'wvpater1@onionmail.org.'

Shënimi i shpërblimit përmban një kërcënim se nëse pagesa e shpërblimit nuk bëhet, sulmuesit do të kryejnë një sulm tjetër kundër sistemit të viktimës dhe do të fshijnë të gjitha të dhënat nga rrjetet e tyre.

Ransomware Rorschach mund të infektojë sistemet Windows dhe Linux

Ransomware Rorschach është një kërcënim i sofistikuar që është krijuar për t'u përhapur automatikisht kur ekzekutohet në një kontrollues të domenit të Windows (DC). Pasi të ekzekutohet, ransomware krijon një Politikë Grupi, e cila e lejon atë të përhapet në makina të tjera brenda domenit. Kjo veçori është lidhur më parë me një lloj tjetër ransomware të njohur si LockBit 2.0.

Ransomware Rorschach është shumë fleksibël dhe ka argumente opsionale që i mundësojnë përshtatjen me nevojat e operatorit. Ai gjithashtu ka funksione unike, të tilla si përdorimi i thirrjeve direkte të sistemit duke përdorur instruksionin "syscall". Këto karakteristika e bëjnë shumë të vështirë zbulimin dhe mbrojtjen kundër.

Për më tepër, ransomware ka disa opsione të integruara që fshihen dhe errësohen, duke i bërë ato të arritshme vetëm përmes inxhinierisë së kundërt të malware. Kjo mund të synohet për lehtësinë e operatorëve.

Rorschach Ransomware përdor një proces hibrid të kriptografisë që kombinon algoritmet curve25519 dhe eSTREAM shifror hc-128 për të enkriptuar skedarët e viktimës. Ndryshe nga ransomware të tjerë, ai kodon vetëm një pjesë të caktuar të përmbajtjes së skedarit origjinal, në vend të të gjithë skedarit. Kjo e bën procesin e kriptimit më të shpejtë dhe më efikas.

Është e rëndësishme të theksohet se Rorschach Ransomware synon të dy sistemet operative Windows dhe Linux. Variantet Linux të Rorschach kanë ngjashmëri me kërcënimin Babuk Ransomware.

Teksti i plotë i shënimit të shpërblimit të dorëzuar nga Rorschach Ransomware është:

ID-ja e deshifrimit:

Përshëndetje, meqë po e lexoni këtë do të thotë që jeni hakuar.
Përveç enkriptimit të të gjitha sistemeve tuaja, fshirjes së kopjeve rezervë, ne gjithashtu shkarkojmë informacionin tuaj konfidencial.
Ja çfarë nuk duhet të bëni:
1) Kontaktoni policinë, FBI ose autoritetet e tjera përpara përfundimit të marrëveshjes sonë.
2) Kontaktoni kompaninë e rikuperimit në mënyrë që ata të zhvillojnë dialog me ne. (Kjo mund të ngadalësojë rikuperimin dhe të prishë komunikimin tonë). Mos shkoni te kompanitë e rikuperimit, ata në thelb janë thjesht ndërmjetës që do të fitojnë para nga ju dhe do t'ju mashtrojnë. Ne jemi të vetëdijshëm për rastet kur kompanitë e rikuperimit ju thonë se çmimi i shpërblimit është 5 milionë dollarë, por në fakt ata negociojnë fshehurazi me ne për 1 milion dollarë, pra ata fitojnë 4 milion dollarë nga ju. Nëse do të na drejtoheshe direkt pa ndërmjetës, do të paguash 5 herë më pak, pra 1 milion dollarë.
3) Mos u përpiqni të deshifroni skedarët vetë, si dhe mos e ndryshoni vetë shtrirjen e skedarit !!! Kjo mund të çojë në pamundësinë e deshifrimit të tyre.

Ja çfarë duhet të bëni menjëherë pasi ta lexoni:
1) Nëse jeni një punonjës i zakonshëm, dërgoni mesazhin tonë tek CEO i kompanisë, si dhe tek departamenti i IT.
2) Nëse jeni CEO, ose specialist në departamentin e IT, ose një person tjetër që ka peshë në kompani, duhet të na kontaktoni brenda 24 orëve me email.

Nëse nuk paguani shpërblimin, ne do të sulmojmë kompaninë tuaj përsëri në të ardhmen. Brenda disa javësh, ne thjesht do të përsërisim sulmin tonë dhe do t'i fshijmë të gjitha të dhënat tuaja nga rrjetet tuaja, QË DO TË Çojë NË PADISPONUESHMËRIMIN E TYRE!

Si garanci që ne mund të deshifrojmë skedarët, ju sugjerojmë që të dërgoni disa skedarë për deshifrim falas.
Email për të na kontaktuar (Shkruani ID-në e deshifrimit në titullin e mesazhit tuaj):
1)wvpater@onionmail.org
2)wvpater1@onionmail.org'