R3tr0 Ransomware

Ang isang bagong variant na kabilang sa pamilya ng Dharma ransomware ay ginagamit ng mga cybercriminal upang i-lock ang data ng kanilang mga biktima. Ang banta ay sinusubaybayan bilang R3tr0 Ransomware ngunit maaari ding matagpuan bilang RETRO-ENCRYPTED. Ang malware ay nilagyan ng uncrackable encryption routine na maaaring makaapekto sa lahat ng mahahalagang file ng biktima - mga database, archive, dokumento, larawan, atbp.

Ang bawat naka-encrypt na file ay mapapalitan din ng husto ang pangalan nito. Ang banta ay magdaragdag muna ng ID string na partikular para sa partikular na biktima. Susundan iyon ng isang email address sa ilalim ng kontrol ng mga umaatake - 'r3tr0crypt@tuta.io,' sa kasong ito. Sa wakas, ang mga naka-lock na file ay magkakaroon ng '.r3tr0' na nakadugtong bilang isang bagong extension ng file. Gaya ng karaniwan para sa isang banta na nakabatay sa Dharma, ang R3tr0 Ransomware ay mag-drop ng dalawang ransom notes sa mga nalabag na device bilang isang 'Info.hta' at 'info.txt' na mga file.

Maglalaman ang text file ng pinutol na bersyon ng ransom note kung saan ang mga user ay idinidirekta lamang sa pakikipag-ugnayan sa dalawang email address ng mga umaatake. Ang buong hanay ng mga tagubilin ay matatagpuan sa loob ng pop-up window na nabuo mula sa .hta file. Dito, muling inulit ng mga banta ng aktor ang kanilang mga email sa 'r3tr0crypt@tuta.io' at 'r3tr0crypt@msgsafe.io.' Binabalaan din nila ang kanilang mga biktima na ang pagpapalit ng pangalan o sinusubukang i-decrypt ang data gamit ang mga tool ng third-party ay maaaring permanenteng makapinsala sa data at maging hindi mababawi ang mga file.

Ang buong text ng mensaheng humihingi ng ransom ay:

RETRO-ENCRYPTED
r3tr0
Huwag mag-alala, maaari mong ibalik ang lahat ng iyong mga file!
Kung gusto mong ibalik ang mga ito, sumulat sa mail: r3tr0crypt@tuta.io IYONG ID -
Kung hindi ka sumagot sa pamamagitan ng koreo sa loob ng 12 oras, sumulat sa amin sa pamamagitan ng ibang mail:r3tr0crypt@msgsafe.io
PANSIN!
Inirerekomenda namin na makipag-ugnayan ka sa amin nang direkta upang maiwasan ang labis na pagbabayad ng mga ahente
Huwag palitan ang pangalan ng mga naka-encrypt na file.
Huwag subukang i-decrypt ang iyong data gamit ang software ng third party, maaari itong maging sanhi ng permanenteng pagkawala ng data.
Ang pag-decryption ng iyong mga file sa tulong ng mga third party ay maaaring magdulot ng pagtaas ng presyo (idinadagdag nila ang kanilang bayad sa amin) o maaari kang maging biktima ng isang scam.

Ang mga tagubilin sa text file ay:

lahat ng iyong data ay na-lock sa amin
Gusto mong bumalik?
sumulat ng email r3tr0crypt@tuta.io o r3tr0crypt@msgsafe.io