BITCOINPAYMENT Ransomware

Isang variant ng pamilya ng Phobos malware, tina-target ng BITCOINPAYMENT Ransomware ang data ng mga biktima nito at ginagawa itong hindi magagamit sa pamamagitan ng isang malakas na nakagawiang pag-encrypt. Ang mga operator ng pagbabanta ay tatangkaing mangikil sa mga apektadong user o kumpanya para sa pera. Dapat tandaan na kahit na ang BITCOINPAYMENT Ransomware ay hindi nagpapakita ng anumang makabuluhang pagpapabuti o pagbabago kung ihahambing sa iba pang mga variant ng Phobos , ang mapanirang potensyal nito ay hindi dapat maliitin.

Sa pangkalahatan, ang BITCOINPAYMENT Ransomware ay sumusunod sa itinatag na gawi ng Phobos. Binabago nito ang mga pangalan ng mga naka-encrypt na file sa pamamagitan ng pagdaragdag ng ID string, isang email address at isang bagong extension sa kanila. Binubuo ang string ng ID para sa bawat biktima, habang ang email address at ang extension ay 'cleverhorse@protonmail.com' at '.BITCOINPAYMENT.' Kapag ang lahat ng naka-target na data ay na-lock ng banta, ang BITCOINPAYMENT Ransomware ay magpapatuloy sa pag-drop ng dalawang file sa nilabag na device, na pinangalanang 'info.hta' at 'info.txt.'

Ang text file ay naglalaman ng mga tagubilin kung paano maaaring makipag-ugnayan ang mga apektadong biktima sa Jabber account ng umaatake upang makatanggap ng mga karagdagang detalye. Binanggit din nito na hanggang 3 naka-encrypt na file na may kabuuang sukat na mas mababa sa 10MB ay maaaring ipadala upang ma-decrypt nang libre. Gayunpaman, ang buong ransom note ay ipinapakita sa isang pop-up window na nabuo mula sa hta file. Dito, nilinaw ng mga cybercriminal na ang mga pagbabayad lamang na ginawa gamit ang Bitcoin cryptocurrency ang tatanggapin. Kung tungkol sa laki ng hinihinging ransom, ito ay tila ibabatay sa oras na aabutin ng mga biktima upang makipag-ugnayan.

Ang buong teksto ng mensahe na ipinapakita bilang isang pop-up window ay:

' Ang lahat ng iyong mga file ay na-encrypt na!

Ang lahat ng iyong mga file ay na-encrypt dahil sa isang problema sa seguridad sa iyong PC. Kung gusto mong ibalik ang mga ito, sumulat sa amin sa e-mail cleverhorse@protonmail.com
Isulat ang ID na ito sa pamagat ng iyong mensahe -
Kung walang tugon mula sa aming mail, maaari mong i-install ang Jabber client at sumulat sa amin bilang suporta sa cleverhorse@xmpp.jp
Kailangan mong magbayad para sa decryption sa Bitcoins. Ang presyo ay depende sa kung gaano ka kabilis sumulat sa amin. Pagkatapos ng pagbabayad, ipapadala namin sa iyo ang tool na magde-decrypt ng lahat ng iyong mga file.

Libreng decryption bilang garantiya
Bago magbayad maaari kang magpadala sa amin ng hanggang 1-3 file para sa libreng pag-decryption. Ang kabuuang sukat ng mga file ay dapat na mas mababa sa 10Mb (hindi naka-archive), at ang mga file ay hindi dapat maglaman ng mahalagang impormasyon. (mga database, backup, malalaking excel sheet, atbp.)

Paano makakuha ng Bitcoins
Ang pinakamadaling paraan upang bumili ng mga bitcoin ay LocalBitcoins site. Kailangan mong magparehistro, i-click ang 'Buy bitcoins', at piliin ang nagbebenta sa pamamagitan ng paraan ng pagbabayad at presyo.
hxxps://localbitcoins.com/buy_bitcoins
Maaari ka ring makahanap ng iba pang mga lugar upang bumili ng Bitcoins at gabay sa mga nagsisimula dito:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Mga tagubilin sa pag-install ng kliyente ng Jabber:
I-download ang jabber (Pidgin) client mula sa hxxps://pidgin.im/download/windows/
Pagkatapos ng pag-install, ipo-prompt ka ng Pidgin client na gumawa ng bagong account.
I-click ang "Add"
Sa field na "Protocol," piliin ang XMPP
Sa "Username" - makabuo ng anumang pangalan
Sa patlang na "domain" - ipasok ang anumang jabber-server, marami sa kanila, halimbawa - exploit.im
Gumawa ng password
Sa ibaba, lagyan ng tsek ang "Gumawa ng account"
I-click ang idagdag
Kung pinili mo ang "domain" - exploit.im, dapat lumitaw ang isang bagong window kung saan kakailanganin mong muling ipasok ang iyong data:
Gumagamit
password
Kakailanganin mong sundan ang link sa captcha (doon mo makikita ang mga character na kailangan mong ipasok sa field sa ibaba)
Kung hindi mo naiintindihan ang aming mga tagubilin sa pag-install ng client ng Pidgin, makakahanap ka ng maraming tutorial sa pag-install sa youtube - hxxps://www.youtube.com/results?search_query=pidgin+jabber+install

Pansin!
Huwag palitan ang pangalan ng mga naka-encrypt na file.
Huwag subukang i-decrypt ang iyong data gamit ang software ng third party, maaari itong magdulot ng permanenteng pagkawala ng data.
Ang pag-decryption ng iyong mga file sa tulong ng mga third party ay maaaring magdulot ng pagtaas ng presyo (idinadagdag nila ang kanilang bayad sa amin) o maaari kang maging biktima ng isang scam.

Ang text file ay naglalaman ng mga sumusunod na tagubilin:

Gusto mo bang ibalik ang iyong mga file? Sumulat sa aming xmpp account - cleverhorse@xmpp.jp
Ang pinakamadaling paraan - magrehistro dito hxxps://www.xmpp.jp/signup
Pagkatapos mag-download ng pidgin client hxxps://pidgin.im/
Pindutin ang Magdagdag ng account, piliin ang protocol xmpp at ilagay ang username mula sa xmpp.jp kung saan ka nagsa-sign up
Domain - xmpp.jp
Ilagay ang iyong password at pindutin ang add
Kapag nag-log in ka pindutin ang Buddies --> Add Buddy-->at sa Buddys username ilagay ang cleverhorse xmpp.jp
Pagkatapos mong makita ang idinagdag na account na cleverhorse@xmpp.jp, i-click ito nang dalawang beses at isulat ang iyong mensahe
Maaari kang magpadala sa amin ng 1-3 test file. Ang kabuuang sukat ng mga file ay dapat na mas mababa sa 10Mb (hindi naka-archive),
ide-decrypt namin ang mga ito at ipapadala sa iyo na kami ay totoo
Kung mayroon kang problema sa xmpp maaari kang sumulat sa aming mail cleverhorse@protonmail.com .'