R3tr0 Ransomware
En ny variant som tillhör Dharma ransomware- familjen används av cyberkriminella för att låsa uppgifterna om sina offer. Hotet spåras som R3tr0 Ransomware men kan också stötas på som RETROKRYPTERAD. Skadlig programvara är utrustad med en oknäckbar krypteringsrutin som kan påverka offrets alla viktiga filer – databaser, arkiv, dokument, bilder etc.
Varje krypterad fil kommer också att ändra sitt namn drastiskt. Hotet kommer först att lägga till en ID-sträng som är specifik för det specifika offret. Det kommer att följa med en e-postadress under kontroll av angriparna - 'r3tr0crypt@tuta.io' i det här fallet. Slutligen kommer de låsta filerna att ha '.r3tr0' tillagd som ett nytt filtillägg. Som är typiskt för ett Dharma-baserat hot, kommer R3tr0 Ransomware att släppa två lösensedlar på de intrångade enheterna som en 'Info.hta'- och 'info.txt'-filer.
Textfilen kommer att innehålla en trunkerad version av lösensumman där användare helt enkelt hänvisas till att kontakta angriparnas två e-postadresser. Den fullständiga uppsättningen instruktioner finns i popup-fönstret som genereras från .hta-filen. Här upprepade hotaktörerna igen sina e-postmeddelanden på 'r3tr0crypt@tuta.io' och 'r3tr0crypt@msgsafe.io.' De varnar också sina offer för att om man döper om eller försöker dekryptera data med verktyg från tredje part kan det skada data permanent och göra filerna omöjliga att återställa.
Hela texten i det lösensumma-krävande meddelandet är:
RETROKRYPTERAD
r3tr0
Oroa dig inte, du kan returnera alla dina filer!
Om du vill återställa dem, skriv till mejlet: r3tr0crypt@tuta.io DITT ID -
Om du inte har svarat per post inom 12 timmar, skriv till oss via en annan mail:r3tr0crypt@msgsafe.io
UPPMÄRKSAMHET!
Vi rekommenderar att du kontaktar oss direkt för att undvika överbetalande agenter
Byt inte namn på krypterade filer.
Försök inte att dekryptera dina data med programvara från tredje part, det kan orsaka permanent dataförlust.
Dekryptering av dina filer med hjälp av tredje part kan orsaka ökat pris (de lägger till sin avgift till vår) eller så kan du bli offer för en bluff.
Instruktionerna i textfilen är:
all din data har låsts till oss
Vill du tillbaka?
skriv e-post r3tr0crypt@tuta.io eller r3tr0crypt@msgsafe.io
