Intel Ransomware

Các nhà nghiên cứu đã phát hiện ra một loại ransomware mới được gọi là Intel Ransomware. Phần mềm đe dọa này xâm nhập vào các thiết bị, mã hóa dữ liệu được lưu trữ và yêu cầu tiền chuộc để đổi lấy việc giải mã thông tin bị xâm phạm được cho là.

Đáng chú ý, các tệp bị ảnh hưởng bởi ransomware Intel đều phải trải qua quá trình đổi tên. Tên tệp gốc được tăng thêm bằng mã định danh duy nhất được gán cho nạn nhân, theo sau là '.[intellent@ai_download_file]' và kết thúc bằng phần mở rộng '.intel'. Như một minh họa, một tệp có nhãn ban đầu là '1.jpg' sẽ được chuyển đổi thành '1.jpg.id-9ECFA93E.[intellent@ai_download_file].intel' sau mã hóa.

Sau khi quá trình mã hóa hoàn tất, nạn nhân sẽ gặp phải thông báo đòi tiền chuộc được hiển thị trong cả cửa sổ bật lên và dưới dạng tệp văn bản có tên 'README!.txt.' Các tệp văn bản này được lưu trữ trong mỗi thư mục được mã hóa và trên màn hình của hệ thống. Phân tích nội dung thông báo đòi tiền chuộc cho thấy Intel Ransomware đặc biệt nhắm mục tiêu vào các công ty và sử dụng chiến thuật tống tiền kép. Hơn nữa, chương trình đe dọa này có liên kết với gia đình Dharma Ransomware .

Phần mềm ransomware Intel ngăn nạn nhân truy cập dữ liệu của chính họ

Intel Ransomware thể hiện một cách tiếp cận toàn diện bằng cách mã hóa cả tệp cục bộ và tệp được chia sẻ trên mạng trong khi các tệp hệ thống quan trọng vẫn không bị ảnh hưởng để tránh khiến hệ thống không hoạt động. Đáng chú ý, nó sử dụng chiến lược tránh mã hóa kép bằng cách loại trừ các tệp bị khóa bởi phần mềm ransomware khác. Tuy nhiên, phương pháp này không an toàn vì nó dựa vào danh sách được xác định trước và có thể không bao gồm tất cả các biến thể ransomware đã biết.

Hơn nữa, phần mềm độc hại Intel thể hiện sự tinh vi trong hoạt động của nó bằng cách đóng các quy trình liên quan đến các tệp có thể mở được, chẳng hạn như trình đọc tệp văn bản và chương trình cơ sở dữ liệu. Biện pháp chủ động này nhằm mục đích ngăn chặn xung đột đối với các tệp được coi là "đang sử dụng", đảm bảo chúng không được miễn mã hóa.

Nhóm ransomware Dharma, thuộc nhóm phần mềm độc hại Intel, sử dụng các chiến thuật chiến lược để xâm nhập và tồn tại lâu dài. Điều này bao gồm việc tắt tường lửa để tạo điều kiện cho việc xâm nhập và tránh bị phát hiện. Ngoài ra, các kỹ thuật đảm bảo tính kiên trì bao gồm:

• • Đang sao chép phần mềm độc hại vào đường dẫn %LOCALAPPDATA%.

• • Đăng ký nó với các phím Run cụ thể.

• • Định cấu hình tự động khởi chạy ransomware sau mỗi lần khởi động lại hệ thống.

Một khía cạnh đáng chú ý của các cuộc tấn công Dharma là khả năng thực hiện các hành động có mục tiêu. Các chương trình được liên kết với dòng này có thể thu thập dữ liệu định vị địa lý, cho phép các trường hợp ngoại lệ trong các cuộc tấn công của chúng. Khả năng thích ứng này ngụ ý rằng sự lây nhiễm có thể có động cơ chính trị hoặc địa chính trị, hoặc chúng có thể cố tình tránh né những nạn nhân không có khả năng đáp ứng nhu cầu tiền chuộc, đặc biệt là ở những khu vực có điều kiện kinh tế yếu kém.

Để cản trở hơn nữa các nỗ lực khôi phục, Intel Ransomware có thể xóa Bản sao ổ đĩa bóng tối, cản trở việc khôi phục các phiên bản trước của tệp. Dựa trên nghiên cứu sâu rộng về lây nhiễm ransomware, rõ ràng là việc giải mã mà không có sự can thiệp của kẻ tấn công thường là một thách thức không thể vượt qua.

Ransomware Intel sử dụng chiến thuật tống tiền kép

Nội dung trong tệp văn bản đóng vai trò là thông báo ngắn gọn cho nạn nhân, truyền tải rằng dữ liệu của họ đã được mã hóa và thu thập. Nó nhắc nạn nhân thiết lập liên lạc bằng cách gửi email cho những kẻ tấn công.

Ngược lại, thông báo bật lên cung cấp thông tin chi tiết hơn về việc lây nhiễm ransomware. Nó nhắc lại các khía cạnh mã hóa và đánh cắp dữ liệu, nhấn mạnh tính cấp bách của tình hình. Thông báo đòi tiền chuộc đưa ra cảnh báo nghiêm ngặt rằng việc không liên hệ với tội phạm mạng trong vòng 24 giờ hoặc từ chối tuân thủ yêu cầu tiền chuộc sẽ dẫn đến việc nội dung bị đánh cắp bị lộ trên web đen hoặc bị bán cho các đối thủ cạnh tranh của công ty nạn nhân.

Để chứng minh khả năng phục hồi, tin nhắn cung cấp một bài kiểm tra giải mã miễn phí được tiến hành trên một tệp duy nhất. Nạn nhân cũng được thông báo rõ ràng rằng việc tìm kiếm sự hỗ trợ từ các công ty phục hồi có thể dẫn đến tổn thất tài chính bổ sung vì các bên trung gian này thường áp dụng các khoản phí được cộng vào số tiền chuộc.

Tuy nhiên, người ta thường quan sát thấy rằng nạn nhân, ngay cả sau khi tuân thủ các yêu cầu về tiền chuộc, vẫn không nhận được khóa hoặc phần mềm giải mã như đã hứa. Mặc dù đáp ứng các yêu cầu về tiền chuộc nhưng không có gì đảm bảo về việc khôi phục tệp. Do đó, các nhà nghiên cứu đặc biệt không khuyến khích việc trả tiền chuộc vì nó không những không đảm bảo việc lấy lại các tập tin mà còn duy trì và hỗ trợ các hoạt động tội phạm. Ngoài ra, điều cần thiết là phải hiểu rằng mặc dù việc xóa ransomware có thể ngăn chặn quá trình mã hóa dữ liệu thêm nhưng quá trình xóa không tự động khôi phục các tệp bị xâm phạm trước đó.

Intel Ransomware hiển thị thông báo đòi tiền chuộc sau dưới dạng cửa sổ bật lên:

'intellent.ai We downloaded to our servers and encrypted all your databases and personal information!

Nếu bạn không viết thư cho chúng tôi trong vòng 24 giờ, chúng tôi sẽ bắt đầu xuất bản và bán dữ liệu của bạn trên darknet trên các trang web của hacker và cung cấp thông tin cho đối thủ cạnh tranh của bạn
gửi email cho chúng tôi: intellent.ai@onionmail.org ID CỦA BẠN -
Nếu bạn không nhận được phản hồi trong vòng 24 giờ, hãy viết thư vào email này:intellent.ai@onionmail.org

THÔNG TIN QUAN TRỌNG!
Hãy nhớ rằng một khi dữ liệu của bạn xuất hiện trên trang web rò rỉ của chúng tôi, nó có thể bị đối thủ cạnh tranh của bạn mua bất cứ lúc nào, vì vậy đừng ngần ngại kéo dài. Bạn trả tiền chuộc càng sớm thì công ty của bạn sẽ càng sớm được an toàn..
chúng tôi đã xem xét tất cả các báo cáo và doanh thu của công ty bạn.
Đảm bảo: Nếu chúng tôi không cung cấp cho bạn bộ giải mã hoặc xóa dữ liệu của bạn sau khi bạn thanh toán thì sẽ không có ai trả tiền cho chúng tôi trong tương lai. Chúng tôi coi trọng danh tiếng của mình.
Khóa đảm bảo:Để chứng minh rằng khóa giải mã tồn tại, chúng tôi có thể kiểm tra tệp (không phải cơ sở dữ liệu và bản sao lưu) miễn phí.
Đừng cố giải mã dữ liệu của bạn bằng phần mềm của bên thứ ba, việc này có thể gây mất dữ liệu vĩnh viễn.
Đừng đến các công ty khôi phục - về cơ bản họ chỉ là người trung gian. Việc giải mã các tệp của bạn với sự trợ giúp của bên thứ ba có thể khiến giá tăng lên (họ tính phí của họ cho chúng tôi), chúng tôi là những người duy nhất có khóa giải mã.

Các tệp văn bản được tạo bởi Intel Ransomware chứa thông báo sau:

Dữ liệu của bạn đã bị đánh cắp và mã hóa!

gửi email cho chúng tôi

intellent.ai@onionmail.org'