Pegasus Ransomware crypte les lecteurs du système des victimes

Notre équipe est tombée sur Pegasus, un programme ransomware, en examinant les nouveaux échantillons de fichiers soumis. Lorsque nous avons exécuté un échantillon de Pegasus sur notre machine de test, celui-ci a crypté les fichiers et modifié leurs noms.

Les noms de fichiers originaux ont été étendus avec une chaîne de caractères aléatoire, par exemple, "1.jpg" est devenu "1.jpg.tBC8M" et "2.png" est devenu "2.png.qGuj7". Après avoir terminé le processus de cryptage, une demande de rançon nommée « Ghost_ReadMe.txt » a été déposée.

La demande de rançon informe la victime que ses fichiers sont inaccessibles en raison du cryptage. Il leur assure qu'ils peuvent récupérer leurs données en achetant l'outil de décryptage auprès des attaquants. Le montant de la rançon est spécifié à 350 $ en crypto-monnaie Bitcoin. Lors du paiement, la victime est invitée à fournir la preuve de la transaction, après quoi il lui est promis de recevoir la clé de déchiffrement.

La note de rançon Pegasus exige un paiement de 350 $

Le texte complet du fichier « Ghost_ReadMe.txt » généré par le ransomware Pegasus se lit comme suit :

Oops, Your Files Have Been Encrypted!
We Have Encrypted Your Data With The Strongest.
You Don't Need to worry.

All of your files have been encrypted
Your computer was infected with a ransomware virus. Your files have been encrypted and you won't
be able to decrypt them without our help.

What can I do to get my files back? You can buy the decrypter.
it will leave your pc as it was before the encryption.

How Can I Decrypt Files?

1. You Can Buy Crypto Here: hxxps://www.coinmama.com/
2. Send $350 To Bitcoin Wallet address: 16JpyqQJ6z1GbxJNztjUnepXsqee3SBz75
3. Send Proof of Transaction to Our Email Address to Get a Decryption Tool and Private Key
4. Contact Our email address: ransom.data@gmail.com

Note: Do Not Use Third Party Decryption Tools

Quels sont les vecteurs d’attaque les plus couramment utilisés par les ransomwares ?

Les ransomwares peuvent infiltrer les systèmes via divers vecteurs d’attaque, mais parmi les plus courants figurent :

E-mails de phishing : les attaquants distribuent souvent des ransomwares via des e-mails de phishing contenant des pièces jointes ou des liens malveillants. Ces e-mails peuvent usurper l'identité d'entités ou d'organisations légitimes, incitant les destinataires à cliquer sur des liens ou à télécharger des pièces jointes contenant des charges utiles de ransomware.

Sites Web malveillants : les ransomwares peuvent être distribués via des sites Web malveillants ou des sites Web légitimes compromis. Visiter de tels sites ou cliquer sur des publicités malveillantes peut conduire au téléchargement et à l'exécution automatiques d'un ransomware sur le système de la victime.

Kits d'exploit : les cybercriminels exploitent les vulnérabilités des logiciels ou des systèmes d'exploitation à l'aide de kits d'exploitation pour diffuser des ransomwares. Ces kits ciblent les vulnérabilités connues qui n'ont pas été corrigées, permettant aux attaquants d'accéder sans autorisation aux systèmes et de déployer des ransomwares.

Protocole de bureau à distance (RDP) : les attaquants peuvent forcer brutalement les informations d'identification RDP ou exploiter des mots de passe faibles pour obtenir un accès non autorisé aux systèmes à distance. Une fois à l’intérieur, ils peuvent déployer des ransomwares directement sur les systèmes compromis.

Téléchargements drive-by : les ransomwares peuvent être diffusés via des téléchargements drive-by, où les logiciels malveillants sont automatiquement téléchargés et installés sur le système d'une victime sans son consentement ou sans qu'elle le sache lors de la visite de sites Web compromis ou malveillants.

Publicité malveillante : les cybercriminels peuvent distribuer des ransomwares via des publicités malveillantes (malvertising) affichées sur des sites Web légitimes. Cliquer sur ces publicités peut rediriger les utilisateurs vers des sites Web hébergeant des ransomwares ou lancer des téléchargements automatiques de charges utiles de ransomwares.

Exécution de code à distance (RCE) : les vulnérabilités des applications Web ou des logiciels serveur peuvent être exploitées pour exécuter du code arbitraire à distance. Les attaquants peuvent exploiter les vulnérabilités RCE pour déployer des ransomwares sur des serveurs ou des appareils en réseau.

Réseaux de partage de fichiers : les ransomwares peuvent se propager via des réseaux de partage de fichiers peer-to-peer (P2P) ou des partages réseau compromis. Les fichiers infectés partagés via ces réseaux peuvent entraîner la propagation de ransomwares à d'autres utilisateurs ou appareils connectés au réseau.