HWABAG Ransomware cryptera vos fichiers

Après avoir examiné de nouveaux échantillons de logiciels malveillants, nous avons identifié HWABAG comme une variante de ransomware liée à la famille Dharma. HWABAG fonctionne en cryptant les fichiers, en modifiant leurs noms et en délivrant deux demandes de rançon : une via une fenêtre contextuelle et une autre sous la forme d'un fichier "HWABAG.txt".

HWABAG modifie les noms de fichiers en ajoutant l'identifiant de la victime, l'adresse e-mail cobson@hwabag.us et l'extension « .HWABAG ». Par exemple, "1.jpg" devient "1.jpg.id-9ECFA84E.[cobson@hwabag.us].HWABAG" et "2.png" devient "2.png.id-9ECFA84E.[cobson@hwabag". .us].HWABAG", et ainsi de suite.

La demande de rançon confirme le cryptage de tous les fichiers et conseille à la victime de lancer la restauration des fichiers en publiant un fil de discussion sur un site Web spécifié, en incluant un identifiant dans la ligne d'objet. En cas de non réponse dans les 24 heures, la note invite la victime à contacter l'adresse e-mail fournie (cobson@hwabag.us).

Le paiement pour le décryptage est demandé en Bitcoins, le montant dépendant de la rapidité de la communication. Lors du paiement, un outil de décryptage est mis en gage. De plus, la note propose un décryptage gratuit jusqu'à 5 fichiers de taille et de contenu limités. Enfin, il met en garde contre le fait de renommer des fichiers cryptés ou d'utiliser un logiciel tiers pour le décryptage, car cela pourrait entraîner une perte permanente de données ou une augmentation des coûts.

Les deux notes de rançon de HWABAG

La version brève de la demande de rançon générée par HWABAG dans le fichier « HWABAG.txt » se lit comme suit :

all your data has been turned into coal

You want to return?

post thread on this website hxxps://soyjak.party/raid/

If no answer in 24 hours write here: cobson@hwabag.us

La version plus longue qui s'affiche dans la fenêtre contextuelle utilise le modèle habituel du Dharma et se présente comme suit :

HWABAG!
All your files have been encrypted due you being pure NAS coal. If you want to restore them, post a thread on this website: hxxps://soyjak.party/raid/
Write this ID in the subject of your post: 9ECFA84E
In case of no answer in 24 hours contact us at this e-mail: cobson@hwabag.us
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the decryption tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 10Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Comment un ransomware comme HWABAG peut-il infecter votre système ?

Les ransomwares comme HWABAG peuvent infecter votre système de diverses manières, exploitant souvent des vulnérabilités ou utilisant des tactiques trompeuses. Voici quelques méthodes courantes :

E-mails de phishing : une méthode répandue consiste à envoyer des e-mails de phishing contenant des pièces jointes ou des liens malveillants. Ces e-mails peuvent sembler légitimes, se faisant souvent passer pour des sociétés ou des individus bien connus, et inciter les utilisateurs à cliquer sur la pièce jointe ou le lien, qui télécharge et exécute ensuite le ransomware.

Sites Web malveillants : la visite de sites Web compromis ou malveillants peut également entraîner une infection par un ransomware. Ces sites Web peuvent contenir des kits d'exploitation qui téléchargent et installent automatiquement des ransomwares sur le système du visiteur à son insu ou sans son consentement.

Exploitation des vulnérabilités : les ransomwares peuvent exploiter les vulnérabilités de sécurité des logiciels ou des systèmes d'exploitation pour accéder à un système. Des logiciels obsolètes, des systèmes non corrigés ou le manque de mises à jour de sécurité peuvent rendre les systèmes vulnérables à de telles attaques.

Publicité malveillante : les publicités malveillantes, ou publicités malveillantes, peuvent rediriger les utilisateurs vers des sites Web hébergeant des ransomwares ou lancer des téléchargements automatiques de ransomwares sur leurs systèmes sans leur interaction.

Téléchargements inopinés : les ransomwares peuvent également être diffusés via des téléchargements inopinés, dans lesquels des logiciels malveillants sont téléchargés et installés sur le système d'un utilisateur à son insu ou sans son consentement, simplement en visitant un site Web compromis.

Attaques RDP (Remote Desktop Protocol) : les attaquants peuvent exploiter les informations d'identification faibles ou par défaut des connexions de bureau à distance pour obtenir un accès non autorisé aux systèmes et déployer des ransomwares.

Vulnérabilités logicielles : les vulnérabilités des applications logicielles installées sur un système peuvent être exploitées pour exécuter un ransomware. Cela inclut les vulnérabilités des logiciels couramment utilisés tels que les navigateurs Web, les suites bureautiques ou les plugins.

Pour atténuer le risque d'infection par un ransomware, il est essentiel de maintenir des mesures de sécurité à jour, telles que l'utilisation d'un logiciel antivirus réputé, la mise à jour régulière des logiciels et des systèmes d'exploitation, la prudence face aux e-mails ou pièces jointes non sollicités et la mise en œuvre de méthodes d'authentification fortes pour l'accès à distance. De plus, des sauvegardes régulières des données importantes stockées dans des emplacements sécurisés peuvent contribuer à atténuer l’impact d’une attaque de ransomware.