SchrodingerCat Ransomware krever BTC løsepenger
Under en rutinemessig inspeksjon av nye filer, snublet vårt forskningsteam over SchrodingerCat løsepengeprogramvare, en variant av GlobeImposter løsepengevarefamilien. SchrodingerCat krypterer data og krever betaling for dekryptering.
Ved testing observerte vi at denne løsepengevaren krypterer filer og legger til en ".schrodingercat"-utvidelse til navnene deres. For eksempel vil en fil kalt "1.jpg" bli "1.jpg.schrodingercat" etter kryptering, og så videre.
Etter kryptering genererer SchrodingerCat en løsepenge med navnet "how_to_back_files.html", som indikerer at den retter seg mot organisasjoner i stedet for individuelle brukere. Notatet hevder at offerets bedriftsnettverk har blitt kompromittert, noe som har resultert i kryptering av lagrede filer.
For å få tilbake tilgang til de krypterte dataene, må offeret kjøpe en dekryptering, priset til 0,15 BTC, som tilsvarer omtrent ti tusen USD i skrivende stund. Notatet fraråder å involvere mellommenn og oppfordrer til direkte forhandlinger med angriperne.
Å nekte å betale løsepengene innebærer trusselen om at nettkriminelle auksjonerer eller lekker sensitive data stjålet fra nettverket. Videre kan de kriminelle nå ut til offerets klienter og tilby å selge deres kompromitterte informasjon.
SchrodingerCat-forfattere tenker på seg selv som en bedrift
Den fullstendige teksten til SchrodingerCat løsepenger inneholder mye tekst, og hackerne omtaler seg selv som "Nacugunder Corporation". Hele teksten er som følger:
YOUR PERSONAL ID
ENGLISH
YOUR CORPORATE NETWORK LOCKED!ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
TO RESTORE FILES YOU WILL NEED A DECRYPTOR!
To get the decryptor you should:
Pay for decrypt your network - 0.15 BTCBuy BTC on one of these sites
hxxps://binance.com
hxxps://www.coinbase.com
Any site you trustBitcoin Wallet: 3Pvn*MLA5
Our contacts:
email: yourdatahelp@seznam.czToxID: CA04B61C320C50D12A2C1B95B5062474B5C00B995B588D0B3781DC052CBF9A354CD10F96C84D
You can download TOXChat here : hxxps://tox.chat/download.html
The message must contain your Personal ID! it is at top of this document.
HOW IT WORKS.
If you need a decrypter or return information, please contact us directly ! The guarantee of successful deals is only a direct contact! Don't shy… It's just business for us and we are always ready for polite and mutually beneficial communication.
What's problem with intermediaries?!
Very often intermediaries take money for themselves, it looks something like this: You turn to an intermediary for help, who promises you huge discounts and professional solutions to problems. Afterwards, intermediary contacts us to conduct a decrypt test, receives decrypted files, and then asks you to transfer money to a wallet not related to us. Having received money, intermediary assures client in every possible way that he did not receive decrypter or simply disappears with money. REMEMBER! - We only have wallet that is indicated in this html (first and last 4 characters) When transferring money to any other wallet, you are not transferring it to us.
deception using various Universal Decryptors for 30% of cost or at a fixed price has become very common. With beautiful pictures or enticing videos on YouTube, where they will show you how it works "Universal Software" - which in reality does not work, but is a Trojan for stealing bitcoin or another cryptolocker, before installing something like that - test it on an isolated network computer and you can see that it is useless. Globeimposter 2.0 namely, this is what you see on your network 🙂 can't be deciphered by anything! Besides original key… only one who created Build has key!- this is us. Contact real professionals like - hxxps://www.bleepingcomputer.com/forums/, or any large anti-virus companies - - they can tell you all horror of situation.
Considering above, we reserve right to request KYC confirmation. For example, send us a message from your corporate email on behalf of Company Director or IT department. We know their original emails - since we carefully study network before work 🙂 By contacting directly, you can count on a friendly conversation, a business-like approach… and possibly a good discount (discount depends on many circumstances, size of company,size of ransom, our checks of your accounting, phase of the Moon, etc.)
WHAT HAPPENS IF YOU DON'T PAYIn case of non-payment, we organize an auction on various sites in DarkNet and try to sell files leaked from your network to interested parties.
Next, we use mail + any other contacts of your clients, and notify them of what happened, perhaps they will be interested so that information does not get into public domain and will be ready to buy out information separately.
-If there are no willing to buy, we simply publish everything that we have in the public resources.© 2024 Nacugunder Corporation | All Rights Reserved.
Hvordan distribueres ransomware som SchrodingerCat?
Ransomware som SchrodingerCat distribueres vanligvis gjennom ulike metoder, inkludert:
Phishing-e-poster: Nettkriminelle distribuerer ofte løsepengeprogramvare gjennom phishing-e-poster som inneholder ondsinnede vedlegg eller lenker. Disse e-postene kan virke legitime, og lure brukere til å åpne vedlegget eller klikke på lenken, som deretter installerer løsepengevaren på offerets system.
Malvertising: Ondsinnede annonser (malvertising) på nettsteder kan omdirigere brukere til nettsteder som er vert for utnyttelsessett som distribuerer løsepengevare. Disse annonsene kan vises på legitime nettsteder og utnytte sårbarheter i brukerens nettleser eller plugins for å installere løsepengevaren stille.
Exploit Kits: Exploit-sett er pakker med ondsinnet kode designet for å utnytte sårbarheter i programvare. Nettkriminelle bruker utnyttelsessett for å infisere brukere som besøker kompromitterte nettsteder, utnytter sårbarheter i nettleserne eller plugins for å levere og utføre løsepengeprogramvare på systemene deres.
Remote Desktop Protocol (RDP)-angrep: Angripere kan utnytte svak eller standard påloggingsinformasjon for eksterne skrivebordstjenester, for eksempel RDP, for å få uautorisert tilgang til et system. Når de er inne, kan de distribuere løsepengevare direkte på offerets nettverk.
Drive-by-nedlastinger: Drive-by-nedlastinger skjer når løsepengevare automatisk lastes ned og installeres på en brukers system uten deres samtykke mens de besøker et kompromittert eller ondsinnet nettsted. Dette utnytter ofte sårbarheter i brukerens nettleser eller plugins.
Infisert programvare eller filer: Nettkriminelle kan distribuere løsepengeprogramvare ved å skjule det som legitim programvare eller filer tilgjengelig for nedlasting fra internett. Intetanende brukere laster ned og kjører disse filene, ved å utilsiktet installere løsepengevaren på systemene deres.
USB og flyttbare medier: Ransomware kan spres gjennom infiserte USB-stasjoner eller andre flyttbare medier. Når brukere setter inn en infisert USB-stasjon i datamaskinen, kan løsepengevaren automatisk kjøre og infisere systemet.
For å beskytte mot ransomware-angrep bør brukere praktisere god cybersikkerhetshygiene, inkludert regelmessig oppdatering av programvare, bruk av anerkjent antivirusprogramvare, være forsiktig med e-postvedlegg og lenker, og regelmessig sikkerhetskopiere viktige data.
