FORCE Ransomware

Under en undersökning av potentiella hot mot skadlig programvara upptäckte forskare FORCE Ransomware. När den väl har infiltrerat en enhet initierar FORCE kryptering över olika filtyper, som omfattar bilder, dokument, kalkylblad och mer. Angriparnas mål är att hålla den krypterade datan som gisslan och tvinga drabbade offer att betala för dekrypteringen. För att identifiera offer och etablera kommunikation, lägger ransomware till unika identifierare, cyberbrottslingarnas e-postadresser och ett ".FORCE"-tillägg till filnamnen på krypterade filer. Till exempel skulle en fil som ursprungligen hette '1.png' omvandlas till '1.png.id[9ECFA74E-3545].[data199@mailum.com].FORCE.'

När krypteringsprocessen är klar visar systemet identiska lösensedlar i två format: ett popup-fönster ('info.hta') och en textfil ('info.txt'). Dessa meddelanden visas på skrivbordet och i alla kataloger som innehåller krypterade filer. Ytterligare analys visade att FORCE tillhör Phobos Ransomware- familjen.

FORCE Ransomware pressar offer på pengar

Lösensedlarna som utfärdats av FORCE understryker att offrets filer har krypterats och att känsliga uppgifter har äventyrats. För att påstås återfå tillgång till sina filer instrueras offret att betala en lösensumma med enbart Bitcoin-kryptovalutan. Underlåtenhet att följa de angivna kraven kommer att resultera i försäljning av den stulna informationen. Innan du gör några betalningar får offret möjlighet att testa dekrypteringsprocessen gratis, om än med vissa begränsningar.

Meddelanden varnar för att ändra de krypterade filerna eller använda återställningsverktyg från tredje part, eftersom sådana åtgärder kan göra data omöjlig att återställa. Dessutom varnas offret för att att söka hjälp från tredje part kan öka deras ekonomiska förluster.

FORCE Ransomware vidtar åtgärder för att förhindra enkel återställning av låsta data

Detta hotfulla program, en del av Phobos Ransomware-familjen, är känt för sin metodiska inställning till kryptering. Till skillnad från vissa ransomware-varianter som gör infekterade maskiner helt obrukbara, riktar Phobos malware selektivt in filer för kryptering och undviker kritiska systemfiler för att säkerställa att systemet förblir funktionellt. Den krypterar både lokalt lagrade filer och de som delas över nätverk och avslutar processer som är associerade med öppna filer för att förhindra undantag baserat på att filer "används", såsom databasprogram eller textfilläsare.

För att förhindra dubbelkryptering upprätthåller Phobos Ransomware en undantagslista över populära ransomware-program. Filer som redan är låsta av programvaran på den här listan förblir opåverkade. Dessutom tar Phobos bort Shadow Volume Copies, ett vanligt återställningsalternativ, för att ytterligare motverka försök till dataåterställning.

För att säkerställa beständighet på de intrångade enheterna kopierar den skadliga programvaran sig själv till %LOCALAPPDATA%-sökvägen och registreras med specifika Run-nycklar, vilket säkerställer att den startar automatiskt vid varje omstart av systemet. Intressant nog kan Phobos ransomware avstå från att attackera enheter baserat på deras geolokalisering, särskilt de i ekonomiskt svaga regioner eller geopolitiskt anpassade länder.

Att dekryptera data som är låst av ransomware utan inblandning av cyberbrottslingar är vanligtvis omöjligt. Även om offren följer krav på lösen, finns det ingen garanti för att de kommer att få de utlovade dekrypteringsnycklarna eller programvaran. Att betala lösensumman garanterar därför inte bara dataåterställning utan upprätthåller också olaglig verksamhet.

Även om borttagning av ransomware från operativsystemet förhindrar ytterligare kryptering, återställer det inte komprometterade filer. Den enda tillförlitliga lösningen är att återställa filer från en säkerhetskopia om en sådan finns tillgänglig.

Ta inga chanser med säkerheten för dina enheter och data

Användare kan förbättra försvaret av sina data och enheter mot ransomware-hot genom att implementera en flerskiktad strategi för cybersäkerhet. Här är några effektiva strategier:

• Håll programvaran uppdaterad : Uppdatera regelbundet operativsystem, program och antivirusprogram för att korrigera säkerhetssårbarheter och skydda mot kända utnyttjanden. Aktivera automatiska uppdateringar när det är möjligt.
• Installera pålitlig säkerhetsprogramvara : Använd ansedd anti-malware-programvara för att upptäcka och ta bort ransomware och andra skadliga hot. Se till att antivirusprogrammet uppdateras ofta för att känna igen de senaste hoten.
• Var försiktig med e-postbilagor och länkar : Var försiktig med misstänkta e-postmeddelanden, särskilt de från okända avsändare eller som innehåller oväntade bilagor eller länkar. Försök att inte komma åt länkar eller ladda ner bilagor från oönskade e-postmeddelanden, eftersom de kan innehålla ransomware eller annan skadlig programvara.
• Säkerhetskopiera data regelbundet : Skapa en robust säkerhetskopieringsstrategi genom att regelbundet säkerhetskopiera viktiga data till en extern hårddisk, molnlagringstjänst eller nätverksansluten lagringsenhet (NAS). Se till att säkerhetskopior lagras säkert och inte är direkt åtkomliga från det primära systemet för att förhindra att de krypteras med ransomware.
• Använd starka, unika lösenord : Skapa starka, komplexa lösenord för alla konton och använd inte samma lösenord för flera konton. Överväg möjligheten att använda en ansedd lösenordshanterare för att skapa och lagra lösenord säkert.
• Aktivera tvåfaktorsautentisering (2FA) : Aktivera tvåfaktorsautentisering för att maximera säkerheten för dina konton. 2FA kräver att användare inkluderar en andra form av verifiering, såsom deras lösenord eller en kod som skickas till deras mobila enhet.

Genom att anta dessa proaktiva åtgärder kan användare minska möjligheterna att falla offer för ransomware-attacker och bättre skydda sina data och enheter avsevärt.

Lösennotan som släpps av FORCE Ransomware är:

'Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.'