Dzen Ransomware est basé sur le code Phobos

Dzen, un type de ransomware associé à la famille Phobos, a été identifié lors de notre analyse de nouveaux échantillons de logiciels malveillants. Cette variante crypte les fichiers et modifie leurs noms de fichiers, tout en fournissant également deux notes de rançon nommées « info.txt » et « info.hta ». Chaque fichier crypté porte l'identifiant de la victime, une adresse e-mail et l'extension « .dzen ».

Par exemple, il remplace « 1.jpg » par « 1.jpg.id[9ECFA84E-3536].[vinsulan@tutamail.com].dzen » et « 2.png » par « 2.png.id[9ECFA84E- 3536].[vinsulan@tutamail.com].dzen", et ainsi de suite.

Les notes de rançon informent les victimes du cryptage et indiquent que seul le logiciel des auteurs peut déverrouiller les données. Ils découragent toute tentative de décryptage indépendant ou l’utilisation d’outils tiers, avertissant d’une perte permanente de données.

En outre, les notes déconseillent d’impliquer des services intermédiaires ou de récupération, invoquant une tromperie potentielle ou une nouvelle compromission des données. Les criminels promettent la confidentialité et promettent de supprimer toutes les données téléchargées lors du paiement de la rançon, garantissant ainsi que les informations personnelles de la victime ne seront pas vendues ou exploitées pour de futures attaques.

Ils imposent cependant un délai de deux jours pour les contacter, menaçant de partager les données avec les parties intéressées si le délai est dépassé. Les coordonnées sont fournies via deux adresses e-mail (vinsulan@tutamail.com et vinsulan@cock.li), avec des instructions pour inclure un identifiant spécifique dans l'objet de l'e-mail.

La note de rançon Dzen menace les fuites de données

Le texte intégral de la demande de rançon de Dzen se lit comme suit :

Your data is encrypted and downloaded!

Unlocking your data is possible only with our software.
Important! An attempt to decrypt it yourself or decrypt it with third-party software will result in the loss of your data forever.
Contacting intermediary companies, recovery companies will create the risk of losing your data forever or being deceived by these companies.
Being deceived is your responsibility! Learn the experience on the forums.

Downloaded data of your company.

Data leakage is a serious violation of the law. Don't worry, the incident will remain a secret, the data is protected.
After the transaction is completed, all data downloaded from you will be deleted from our resources. Government agencies, competitors, contractors and local media
not aware of the incident.
Also, we guarantee that your company's personal data will not be sold on DArkWeb resources and will not be used to attack your company, employees
and counterparties in the future.
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Contact us.

Write us to the e-mail:vinsulan@tutamail.com
In case of no answer in 24 hours write us to this e-mail:vinsulan@cock.li
Write this ID in the title of your message: -
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Do not rename encrypted files
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Comment pouvez-vous protéger vos données sensibles contre les attaques de ransomwares ?

La protection des données sensibles contre les attaques de ransomwares nécessite une approche globale combinant mesures proactives et stratégies réactives. Voici quelques étapes pour protéger vos données sensibles :

Sauvegardes régulières des données : effectuez des sauvegardes régulières de vos données sensibles sur des périphériques de stockage ou des services cloud distincts. Assurez-vous que ces sauvegardes sont stockées hors ligne ou dans un environnement sécurisé pour éviter qu'elles ne soient compromises lors d'une attaque.

Systèmes de mise à jour et de correctifs : gardez vos systèmes d'exploitation, logiciels et applications à jour avec les derniers correctifs de sécurité. Les vulnérabilités des logiciels obsolètes peuvent être exploitées par des attaquants de ransomware pour accéder à vos systèmes.

Mettre en œuvre un logiciel de sécurité : installez un logiciel antivirus et anti-malware réputé sur tous les appareils et réseaux. Ces outils peuvent aider à détecter et à bloquer les menaces de ransomware avant qu'elles ne puissent infecter vos systèmes.

Utilisez le filtrage des e-mails et du Web : mettez en œuvre des solutions de filtrage des e-mails et du Web pour bloquer les pièces jointes, les liens et les sites Web malveillants couramment utilisés par les distributeurs de ransomwares pour propager des logiciels malveillants.

Éduquer les employés : formez les employés à reconnaître les e-mails de phishing, les liens suspects et autres tactiques d'ingénierie sociale utilisées par les attaquants de ransomwares. Encouragez-les à faire preuve de prudence lorsqu’ils ouvrent des pièces jointes à des e-mails ou cliquent sur des liens, en particulier provenant d’expéditeurs inconnus.

Limiter les privilèges des utilisateurs : restreindre les privilèges des utilisateurs aux seules autorisations nécessaires pour effectuer leurs tâches. Cela peut aider à empêcher les ransomwares de se propager latéralement sur votre réseau en cas d’infiltration réussie.

Segmentation du réseau : divisez votre réseau en segments distincts avec des contrôles d'accès restreints. Cela peut contenir la propagation des ransomwares et limiter leur impact sur les systèmes et données critiques.

Activer l'authentification à deux facteurs (2FA) : mettez en œuvre l'authentification à deux facteurs dans la mesure du possible pour ajouter une couche de sécurité supplémentaire à vos comptes et systèmes. Cela peut aider à empêcher tout accès non autorisé même si les informations de connexion sont compromises.