FORCE Ransomware gardera vos fichiers captifs

Notre équipe de chercheurs a découvert la variante du ransomware FORCE lors d'un examen de routine de nouveaux échantillons de fichiers. FORCE appartient à la lignée des ransomwares Phobos.

Lors des tests sur notre système expérimental, FORCE a crypté avec succès les fichiers, puis a exigé un paiement pour leur décryptage. Les noms des fichiers cryptés ont été modifiés pour inclure un identifiant unique attribué à la victime, l'adresse e-mail des cybercriminels et une extension « .FORCE ». Par exemple, un fichier initialement nommé « 1.jpg » apparaîtrait sous la forme « 1.jpg.id[9ECFA84E-3545].[data199@mailum.com].FORCE ».

Suite au processus de cryptage, des demandes de rançon identiques ont été générées – l'une sous la forme d'une fenêtre contextuelle (« info.hta ») et l'autre sous forme de fichier texte (« info.txt »). Ces messages étaient déposés sur le bureau et distribués dans tous les répertoires contenant des fichiers cryptés.

Les notes de rançon associées à FORCE indiquent que les fichiers de la victime ont été cryptés et que les données sensibles ont été compromises. Pour décrypter les fichiers, un paiement de rançon en cryptomonnaie Bitcoin est demandé. Le non-respect de ces exigences entraînerait la vente des informations divulguées. Avant d'effectuer un paiement, la victime a la possibilité de tester gratuitement le processus de décryptage, mais avec certaines limitations.

Ces messages mettent en garde contre la modification des fichiers cryptés ou l'utilisation d'outils de récupération tiers, car cela pourrait rendre les données inaccessibles de manière permanente. En outre, la victime est avertie que le recours à l’aide de tiers pourrait aggraver ses pertes financières.

FORCE Note de rançon dans son intégralité

Le texte complet de la demande de rançon FORCE se lit comme suit :

Your files are encrypted.

AYour data has been compromised, important data has been stolen for the next sale in case of non-payment. But you have the opportunity to return everything.
Write to e-mail: data199@mailum.com
Write this ID in the title of your message -
Or write us to the TOX messenger: F9B62A229F748C0211804208C4229133B1D395CC746C3ACBF80255D2E4484F03306DA0FE3ACB
You can download TOX messenger here hxxps://tox.chat/
Payment for decryption is accepted only in Bitcoin. After payment, I will provide you with the key and complete decryption instructions.

Free decryption as guarantee
Decryption guarantee: you can send to me any 2 files with SIMPLE extensions(jpg,txt,doc, not databases!) and low sizes(max 1 mb), i will decrypt them and send back to you. This is my guarantee.
I don't want to deceive you, I want to earn money. You pay me and continue your work. My honest name is more important than a one-time deception.

How to obtain Bitcoins
Contact me and I will give you instructions on how to purchase bitcoins.

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
The intermediary can also convince you that they can restore your data themselves without contacting us, this is not true, any recovery takes place only with my key.

Comment les ransomwares sont-ils généralement distribués en ligne ?

Les ransomwares sont généralement distribués en ligne via diverses méthodes, notamment :

E-mails de phishing : les pirates informatiques envoient des e-mails trompeurs contenant des pièces jointes ou des liens malveillants. Ces e-mails usurpent souvent l'identité d'entités ou d'organisations légitimes, incitant les destinataires à ouvrir la pièce jointe ou à cliquer sur le lien, ce qui installe ensuite le ransomware sur leur système.

Publicité malveillante : les publicités malveillantes affichées sur des sites Web légitimes peuvent rediriger les utilisateurs vers des sites Web hébergeant des kits d'exploitation, qui à leur tour transmettent des ransomwares sur l'appareil de la victime via des vulnérabilités de leur logiciel.

Kits d'exploit : il s'agit de packages de code pré-écrit qui exploitent les vulnérabilités de logiciels ou de systèmes d'exploitation obsolètes. Lorsque les utilisateurs visitent des sites Web compromis ou cliquent sur des liens malveillants, les kits d’exploitation téléchargent et installent silencieusement des ransomwares sur leurs appareils.

Attaques RDP (Remote Desktop Protocol) : les attaquants obtiennent un accès non autorisé aux systèmes dotés d'informations d'identification RDP faibles ou par défaut. Une fois à l’intérieur, ils déploient des ransomwares directement sur le réseau compromis, causant souvent des dégâts considérables.

Téléchargements intempestifs : un code malveillant est injecté dans des sites Web légitimes, ce qui amène les visiteurs à télécharger involontairement des ransomwares sur leurs appareils simplement en naviguant sur le site.

Vulnérabilités logicielles : les auteurs de ransomwares exploitent les vulnérabilités des logiciels ou des systèmes d'exploitation pour obtenir un accès non autorisé aux systèmes et installer des ransomwares à l'insu ou sans le consentement de l'utilisateur.

Réseaux peer-to-peer (P2P) : les ransomwares peuvent être déguisés en logiciels piratés ou en contenu piraté distribué via les réseaux P2P. Des utilisateurs sans méfiance téléchargent et exécutent ces fichiers, infectant sans le savoir leurs systèmes avec un ransomware.