SchrodingerCat Ransomware kræver BTC løsesum

Under en rutinemæssig inspektion af nye filer faldt vores forskerhold over SchrodingerCat ransomware, en variant af GlobeImposter ransomware-familien. SchrodingerCat krypterer data og kræver betaling for dekryptering.

Ved test observerede vi, at denne ransomware krypterer filer og tilføjer en ".schrodingercat"-udvidelse til deres navne. For eksempel ville en fil med navnet "1.jpg" blive til "1.jpg.schrodingercat" efter kryptering og så videre.

Efter kryptering genererer SchrodingerCat en løsesumseddel med navnet "how_to_back_files.html", hvilket indikerer, at den er rettet mod organisationer frem for individuelle brugere. Notatet hævder, at ofrets virksomhedsnetværk er blevet kompromitteret, hvilket resulterer i kryptering af dets lagrede filer.

For at få adgang til de krypterede data igen, skal offeret købe en dekryptering, prissat til 0,15 BTC, hvilket svarer til cirka ti tusinde USD i skrivende stund. Notatet fraråder at involvere mellemmænd og opfordrer til direkte forhandling med angriberne.

Afvisning af at betale løsesum indebærer truslen om, at cyberkriminelle auktionerer eller lækker følsomme data stjålet fra netværket. Ydermere kan de kriminelle nå ud til ofrets klienter og tilbyde at sælge deres kompromitterede oplysninger.

SchrodingerCat-forfattere tænker på sig selv som en virksomhed

Den fulde tekst af SchrodingerCat løsesumsnotaen indeholder en masse tekst, og hackerne omtaler sig selv som "Nacugunder Corporation". Den fulde tekst lyder som følger:

YOUR PERSONAL ID

ENGLISH
YOUR CORPORATE NETWORK LOCKED!

ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.

TO RESTORE FILES YOU WILL NEED A DECRYPTOR!
To get the decryptor you should:
Pay for decrypt your network - 0.15 BTC

Buy BTC on one of these sites
hxxps://binance.com
hxxps://www.coinbase.com
Any site you trust

Bitcoin Wallet: 3Pvn*MLA5

Our contacts:
email: yourdatahelp@seznam.cz

ToxID: CA04B61C320C50D12A2C1B95B5062474B5C00B995B588D0B3781DC052CBF9A354CD10F96C84D

You can download TOXChat here : hxxps://tox.chat/download.html

The message must contain your Personal ID! it is at top of this document.

HOW IT WORKS.

If you need a decrypter or return information, please contact us directly ! The guarantee of successful deals is only a direct contact! Don't shy… It's just business for us and we are always ready for polite and mutually beneficial communication.

What's problem with intermediaries?!

Very often intermediaries take money for themselves, it looks something like this: You turn to an intermediary for help, who promises you huge discounts and professional solutions to problems. Afterwards, intermediary contacts us to conduct a decrypt test, receives decrypted files, and then asks you to transfer money to a wallet not related to us. Having received money, intermediary assures client in every possible way that he did not receive decrypter or simply disappears with money. REMEMBER! - We only have wallet that is indicated in this html (first and last 4 characters) When transferring money to any other wallet, you are not transferring it to us.

deception using various Universal Decryptors for 30% of cost or at a fixed price has become very common. With beautiful pictures or enticing videos on YouTube, where they will show you how it works "Universal Software" - which in reality does not work, but is a Trojan for stealing bitcoin or another cryptolocker, before installing something like that - test it on an isolated network computer and you can see that it is useless. Globeimposter 2.0 namely, this is what you see on your network 🙂 can't be deciphered by anything! Besides original key… only one who created Build has key!- this is us. Contact real professionals like - hxxps://www.bleepingcomputer.com/forums/, or any large anti-virus companies - - they can tell you all horror of situation.

Considering above, we reserve right to request KYC confirmation. For example, send us a message from your corporate email on behalf of Company Director or IT department. We know their original emails - since we carefully study network before work 🙂 By contacting directly, you can count on a friendly conversation, a business-like approach… and possibly a good discount (discount depends on many circumstances, size of company,size of ransom, our checks of your accounting, phase of the Moon, etc.)
WHAT HAPPENS IF YOU DON'T PAY

In case of non-payment, we organize an auction on various sites in DarkNet and try to sell files leaked from your network to interested parties.
Next, we use mail + any other contacts of your clients, and notify them of what happened, perhaps they will be interested so that information does not get into public domain and will be ready to buy out information separately.
-If there are no willing to buy, we simply publish everything that we have in the public resources.

© 2024 Nacugunder Corporation | All Rights Reserved.

Hvordan distribueres ransomware som SchrodingerCat?

Ransomware som SchrodingerCat distribueres typisk gennem forskellige metoder, herunder:

Phishing-e-mails: Cyberkriminelle distribuerer ofte ransomware gennem phishing-e-mails, der indeholder ondsindede vedhæftede filer eller links. Disse e-mails kan forekomme legitime og narre brugere til at åbne den vedhæftede fil eller klikke på linket, som derefter installerer ransomwaren på offerets system.

Malvertising: Ondsindede annoncer (malvertising) på websteder kan omdirigere brugere til websteder, der hoster udnyttelsessæt, der distribuerer ransomware. Disse annoncer kan blive vist på legitime websteder og udnytte sårbarheder i brugerens browser eller plugins til at installere ransomware i ro og mag.

Udnyttelsessæt: Udnyttelsessæt er pakker med ondsindet kode designet til at drage fordel af sårbarheder i software. Cyberkriminelle bruger udnyttelsessæt til at inficere brugere, der besøger kompromitterede websteder, udnytter sårbarheder i deres browsere eller plugins til at levere og udføre ransomware på deres systemer.

Remote Desktop Protocol (RDP)-angreb: Angribere kan udnytte svage eller standardlegitimationsoplysninger til fjernskrivebordstjenester, såsom RDP, for at få uautoriseret adgang til et system. Når de først er inde, kan de implementere ransomware direkte på ofrets netværk.

Drive-by-downloads: Drive-by-downloads forekommer, når ransomware automatisk downloades og installeres på en brugers system uden deres samtykke, mens du besøger et kompromitteret eller ondsindet websted. Dette udnytter ofte sårbarheder i brugerens browser eller plugins.

Inficeret software eller filer: Cyberkriminelle kan distribuere ransomware ved at skjule det som legitim software eller filer, der kan downloades fra internettet. Intetanende brugere downloader og kører disse filer og installerer utilsigtet ransomware på deres systemer.

USB og flytbare medier: Ransomware kan spredes gennem inficerede USB-drev eller andre flytbare medier. Når brugere indsætter et inficeret USB-drev i deres computer, kan ransomwaren automatisk udføre og inficere systemet.

For at beskytte mod ransomware-angreb bør brugere praktisere god cybersikkerhedshygiejne, herunder regelmæssig opdatering af software, brug af velrenommeret antivirussoftware, være forsigtig med vedhæftede filer og links og regelmæssigt sikkerhedskopiere vigtige data.