R3tr0 Ransomware
Một biến thể mới thuộc dòng Dharma ransomware đang được tội phạm mạng sử dụng để khóa dữ liệu của nạn nhân. Mối đe dọa được theo dõi dưới dạng R3tr0 Ransomware nhưng cũng có thể gặp dưới dạng RETRO-ENCRYPTED. Phần mềm độc hại được trang bị một quy trình mã hóa không thể theo dõi có thể ảnh hưởng đến tất cả các tệp quan trọng của nạn nhân - cơ sở dữ liệu, lưu trữ, tài liệu, hình ảnh, v.v.
Mỗi tệp được mã hóa cũng sẽ có tên của nó được thay đổi đáng kể. Trước tiên, mối đe dọa sẽ thêm một chuỗi ID dành riêng cho nạn nhân cụ thể. Nó sẽ theo sau đó với một địa chỉ email dưới sự kiểm soát của những kẻ tấn công - 'r3tr0crypt@tuta.io,' trong trường hợp này. Cuối cùng, các tệp bị khóa sẽ có thêm '.r3tr0' làm phần mở rộng tệp mới. Là điển hình cho mối đe dọa dựa trên Pháp, R3tr0 Ransomware sẽ thả hai ghi chú đòi tiền chuộc trên các thiết bị bị xâm phạm dưới dạng tệp 'Info.hta' và 'info.txt'.
Tệp văn bản sẽ chứa một phiên bản bị cắt ngắn của ghi chú đòi tiền chuộc với việc người dùng chỉ cần liên hệ với hai địa chỉ email của những kẻ tấn công. Tập hợp đầy đủ các hướng dẫn được tìm thấy bên trong cửa sổ bật lên được tạo từ tệp .hta. Tại đây, những kẻ đe dọa một lần nữa nhắc lại email của họ tại 'r3tr0crypt@tuta.io' và 'r3tr0crypt@msgsafe.io.' Họ cũng cảnh báo nạn nhân rằng việc đổi tên hoặc cố gắng giải mã dữ liệu bằng các công cụ của bên thứ ba có thể làm hỏng dữ liệu vĩnh viễn và khiến các tệp không thể khôi phục được.
Nội dung đầy đủ của thông báo đòi tiền chuộc là:
RETRO-ENCRYPTED
r3tr0
Đừng lo lắng, bạn có thể trả lại tất cả các tệp của mình!
Nếu bạn muốn khôi phục chúng, hãy viết thư vào mail: r3tr0crypt@tuta.io ID CỦA BẠN -
Nếu bạn chưa trả lời qua thư trong vòng 12 giờ, hãy viết thư cho chúng tôi bằng một thư khác: r3tr0crypt@msgsafe.io
CHÚ Ý!
Chúng tôi khuyên bạn nên liên hệ trực tiếp với chúng tôi để tránh trả quá nhiều tiền cho các đại lý
Không đổi tên các tệp được mã hóa.
Không cố gắng giải mã dữ liệu của bạn bằng phần mềm của bên thứ ba, nó có thể gây mất dữ liệu vĩnh viễn.
Việc giải mã các tệp của bạn với sự trợ giúp của các bên thứ ba có thể làm tăng giá (họ cộng phí của họ vào của chúng tôi) hoặc bạn có thể trở thành nạn nhân của một trò lừa đảo.
Các hướng dẫn trong tệp văn bản là:
tất cả dữ liệu của bạn đã bị khóa chúng tôi
Bạn muốn trở về?
viết email r3tr0crypt@tuta.io hoặc r3tr0crypt@msgsafe.io
