Fake Ransomware
อาชญากรไซเบอร์กำลังแพร่กระจายภัยคุกคามมัลแวร์ที่ปลอมแปลงเป็นแรนซัมแวร์ผ่านเว็บไซต์ที่เสียหายซึ่งเสนอเนื้อหาสำหรับผู้ใหญ่และจำกัดอายุ เมื่อเปิดใช้งานบนอุปกรณ์ของเหยื่อ ภัยคุกคามจะถูกติดตามเนื่องจาก Fake Ransomware ทำหน้าที่อย่างใกล้ชิดกับ Wiper ซึ่งจะทำให้ข้อมูลที่ได้รับผลกระทบอยู่ในสถานะที่ไม่สามารถกู้คืนได้ เว็บไซต์ที่มีอาวุธมีชื่อคล้ายกับ sexyphotos.kozow(dot)com, nude-girlss.mywire(dot)org และ sexy-photo (dot) ออนไลน์
ตามที่นักวิจัยด้านความปลอดภัยทางไซเบอร์ที่เปิดเผยรายละเอียดเกี่ยวกับการโจมตีครั้งแรก ไซต์เหล่านี้จะหลอกลวงผู้ใช้โดยเปิดใช้งานการดาวน์โหลดโดยอัตโนมัติซึ่งนำเสนอเป็นไฟล์ภาพลามกอนาจาร หากผู้ใช้ยอมรับการดาวน์โหลด ไฟล์ปฏิบัติการชื่อ 'SexyPhotos.JPG.exe' จะถูกทิ้งและเปิดใช้งานบนคอมพิวเตอร์ของพวกเขา
Fake Ransomware ปลอม
เมื่อดำเนินการ ไฟล์จะดรอปไฟล์ปฏิบัติการสี่ไฟล์และไฟล์แบตช์หนึ่งไฟล์บนอุปกรณ์ของเหยื่อ ไฟล์แบตช์ได้รับมอบหมายให้สร้างการคงอยู่โดยคัดลอกไฟล์เรียกทำงานทั้งสี่ลงในโฟลเดอร์ Windows Startup เมื่อสร้างเสร็จแล้ว Fake Ransomware จะกำหนดเป้าหมายมากกว่า 70 นามสกุลไฟล์ที่แตกต่างกันและหลายโฟลเดอร์ที่เลือกโดยเฉพาะ ไฟล์และโฟลเดอร์เป้าหมายทั้งหมดจะถูกเปลี่ยนชื่อเดิมเป็น 'Locked_[NUmber].Locked_fille' ซึ่งจะทำให้อยู่ในสถานะใช้งานไม่ได้ อย่างไรก็ตาม โปรดทราบว่าไม่มีการเข้ารหัสเกิดขึ้น ภัยคุกคามยังมีรายการยกเว้นที่มีนามสกุลไฟล์ที่จะไม่เสียหาย
ค่าไถ่หมายเหตุและเช็ดช่าง
หลังจากที่เปลี่ยนชื่อเป้าหมายทั้งหมดเสร็จแล้ว Fake Ransomware จะปล่อยไฟล์ข้อความชื่อ 'Readme.txt' ลงในอุปกรณ์ จากนั้นไฟล์จะถูกคัดลอกไปยังโฟลเดอร์ต่างๆ มากมาย รวมทั้งเปิดขึ้นบนหน้าจอโดยอัตโนมัติ บันทึกค่าไถ่ประกอบด้วยคำแนะนำในหลายภาษา รวมถึงอังกฤษ เยอรมัน สเปน ฝรั่งเศส ตุรกี และอื่นๆ ผู้โจมตีระบุว่าไฟล์ของเหยื่อได้รับการเข้ารหัสและผู้ใช้ที่ได้รับผลกระทบจะต้องจ่ายค่าไถ่ 300 ดอลลาร์หากต้องการกู้คืนข้อมูล ราคาจะเพิ่มขึ้นเป็นสองเท่าเป็น 600 ดอลลาร์ 3 วันหลังจากการโจมตี ในขณะที่หลังจาก 7 วัน รหัสถอดรหัสจะถูกลบออกและไฟล์ที่ถูกล็อคทั้งหมดจะไม่สามารถกู้คืนได้
อย่างไรก็ตาม ดังที่เราได้กล่าวไว้ก่อนหน้านี้ Fake Ransomware ไม่มีรูทีนการเข้ารหัส ด้วยเหตุนี้ จึงไม่น่าเป็นไปได้อย่างยิ่งที่แม้แต่ผู้โจมตีจะสามารถกู้คืนไฟล์ที่ได้รับผลกระทบได้ เนื่องจากภัยคุกคามไม่ได้เก็บบันทึกชื่อไฟล์ดั้งเดิม
