Dzen Ransomware basiert auf Phobos-Code

Dzen, eine Art Ransomware der Phobos-Familie, wurde bei unserer Analyse neuer Malware-Beispiele identifiziert. Diese Variante verschlüsselt Dateien und ändert ihre Dateinamen und übermittelt gleichzeitig zwei Lösegeldforderungen mit den Namen „info.txt“ und „info.hta“. Jede verschlüsselte Datei ist mit der ID des Opfers, einer E-Mail-Adresse und der Erweiterung „.dzen“ gekennzeichnet.

Beispielsweise ändert es „1.jpg“ in „1.jpg.id[9ECFA84E-3536].[vinsulan@tutamail.com].dzen“ und „2.png“ in „2.png.id[9ECFA84E- 3536].[vinsulan@tutamail.com].dzen“ und so weiter.

Die Lösegeldforderungen informieren die Opfer über die Verschlüsselung und geben an, dass nur die Software des Täters die Daten entschlüsseln kann. Sie raten von Versuchen einer unabhängigen Entschlüsselung oder der Verwendung von Tools Dritter ab und warnen vor einem dauerhaften Datenverlust.

Darüber hinaus wird in den Notizen von der Einschaltung von Vermittlern oder Wiederherstellungsdiensten abgeraten, da es zu einer möglichen Täuschung oder weiteren Datenkompromittierung kommen könnte. Die Kriminellen verpflichten sich zur Vertraulichkeit und versprechen, alle heruntergeladenen Daten nach Zahlung des Lösegelds zu löschen, um sicherzustellen, dass die persönlichen Daten des Opfers nicht verkauft oder für zukünftige Angriffe ausgenutzt werden.

Sie setzen jedoch eine Frist von zwei Tagen für die Kontaktaufnahme und drohen damit, die Daten an interessierte Parteien weiterzugeben, wenn die Frist verstreicht. Die Kontaktdaten werden über zwei E-Mail-Adressen (vinsulan@tutamail.com und vinsulan@cock.li) bereitgestellt, mit der Anweisung, eine bestimmte ID in den Betreff der E-Mail aufzunehmen.

Dzen-Lösegeldschein droht Datenlecks

Der vollständige Text der Dzen-Lösegeldforderung lautet wie folgt:

Your data is encrypted and downloaded!

Unlocking your data is possible only with our software.
Important! An attempt to decrypt it yourself or decrypt it with third-party software will result in the loss of your data forever.
Contacting intermediary companies, recovery companies will create the risk of losing your data forever or being deceived by these companies.
Being deceived is your responsibility! Learn the experience on the forums.

Downloaded data of your company.

Data leakage is a serious violation of the law. Don't worry, the incident will remain a secret, the data is protected.
After the transaction is completed, all data downloaded from you will be deleted from our resources. Government agencies, competitors, contractors and local media
not aware of the incident.
Also, we guarantee that your company's personal data will not be sold on DArkWeb resources and will not be used to attack your company, employees
and counterparties in the future.
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Contact us.

Write us to the e-mail:vinsulan@tutamail.com
In case of no answer in 24 hours write us to this e-mail:vinsulan@cock.li
Write this ID in the title of your message: -
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Do not rename encrypted files
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Wie können Sie Ihre sensiblen Daten vor Ransomware-Angriffen schützen?

Der Schutz sensibler Daten vor Ransomware-Angriffen erfordert einen umfassenden Ansatz, der proaktive Maßnahmen mit reaktiven Strategien kombiniert. Hier sind einige Schritte zum Schutz Ihrer sensiblen Daten:

Regelmäßige Datensicherungen: Erstellen Sie regelmäßige Sicherungen Ihrer sensiblen Daten auf separaten Speichergeräten oder Cloud-Diensten. Stellen Sie sicher, dass diese Backups offline oder in einer sicheren Umgebung gespeichert werden, um zu verhindern, dass sie während eines Angriffs kompromittiert werden.

Update- und Patch-Systeme: Halten Sie Ihre Betriebssysteme, Software und Anwendungen mit den neuesten Sicherheitspatches auf dem neuesten Stand. Schwachstellen in veralteter Software können von Ransomware-Angreifern ausgenutzt werden, um Zugriff auf Ihre Systeme zu erhalten.

Implementieren Sie Sicherheitssoftware: Installieren Sie seriöse Antiviren- und Anti-Malware-Software auf allen Geräten und Netzwerken. Diese Tools können dabei helfen, Ransomware-Bedrohungen zu erkennen und zu blockieren, bevor sie Ihre Systeme infizieren können.

Verwenden Sie E-Mail- und Webfilter: Implementieren Sie E-Mail- und Webfilterlösungen, um bösartige Anhänge, Links und Websites zu blockieren, die häufig von Ransomware-Vertreibern zur Verbreitung von Malware verwendet werden.

Mitarbeiter schulen: Schulen Sie Ihre Mitarbeiter darin, Phishing-E-Mails, verdächtige Links und andere Social-Engineering-Taktiken von Ransomware-Angreifern zu erkennen. Ermutigen Sie sie, beim Öffnen von E-Mail-Anhängen oder beim Klicken auf Links, insbesondere von unbekannten Absendern, Vorsicht walten zu lassen.

Beschränken Sie die Benutzerrechte: Beschränken Sie die Benutzerrechte auf die Berechtigungen, die für die Erfüllung ihrer beruflichen Aufgaben erforderlich sind. Dies kann dazu beitragen, im Falle einer erfolgreichen Infiltration zu verhindern, dass sich Ransomware seitlich in Ihrem Netzwerk ausbreitet.

Netzwerksegmentierung: Teilen Sie Ihr Netzwerk in separate Segmente mit eingeschränkten Zugriffskontrollen auf. Dies kann die Verbreitung von Ransomware eindämmen und ihre Auswirkungen auf kritische Systeme und Daten begrenzen.

Aktivieren Sie die Zwei-Faktor-Authentifizierung (2FA): Implementieren Sie nach Möglichkeit die Zwei-Faktor-Authentifizierung, um Ihren Konten und Systemen eine zusätzliche Sicherheitsebene hinzuzufügen. Dies kann dazu beitragen, unbefugten Zugriff zu verhindern, selbst wenn die Anmeldeinformationen kompromittiert werden.