Программа-вымогатель Pegasus шифрует системные диски жертвы
Наша команда наткнулась на Pegasus, программу-вымогатель, когда просматривала новые образцы файлов. Когда мы запустили образец Pegasus на нашей тестовой машине, он зашифровал файлы и изменил их имена.
Исходные имена файлов были расширены случайной строкой символов, например, «1.jpg» стало «1.jpg.tBC8M», а «2.png» стало «2.png.qGuj7». После завершения процесса шифрования была сохранена записка с требованием выкупа под названием «Ghost_ReadMe.txt».
Записка о выкупе уведомляет жертву о том, что ее файлы недоступны из-за шифрования. Он уверяет их, что они смогут получить свои данные, купив у злоумышленников инструмент расшифровки. Сумма выкупа указана в размере 350 долларов США в криптовалюте Bitcoin. После оплаты жертве предлагается предоставить доказательства транзакции, после чего ей обещают получить ключ дешифрования.
Записка о выкупе Pegasus требует выплаты в размере 350 долларов США
Полный текст файла Ghost_ReadMe.txt, созданного программой-вымогателем Pegasus, выглядит следующим образом:
Oops, Your Files Have Been Encrypted!
We Have Encrypted Your Data With The Strongest.
You Don't Need to worry.All of your files have been encrypted
Your computer was infected with a ransomware virus. Your files have been encrypted and you won't
be able to decrypt them without our help.What can I do to get my files back? You can buy the decrypter.
it will leave your pc as it was before the encryption.How Can I Decrypt Files?
- You Can Buy Crypto Here: hxxps://www.coinmama.com/
- Send $350 To Bitcoin Wallet address: 16JpyqQJ6z1GbxJNztjUnepXsqee3SBz75
- Send Proof of Transaction to Our Email Address to Get a Decryption Tool and Private Key
- Contact Our email address: ransom.data@gmail.com
Note: Do Not Use Third Party Decryption Tools
Каковы наиболее распространенные векторы атак, используемые программами-вымогателями?
Программы-вымогатели могут проникать в системы с помощью различных векторов атак, но некоторые из наиболее распространенных из них включают в себя:
Фишинговые электронные письма. Злоумышленники часто распространяют программы-вымогатели через фишинговые электронные письма, содержащие вредоносные вложения или ссылки. Эти электронные письма могут выдавать себя за законные лица или организации, побуждая получателей нажимать на ссылки или загружать вложения, содержащие полезные данные программы-вымогателя.
Вредоносные веб-сайты. Программы-вымогатели могут распространяться через вредоносные веб-сайты или взломанные законные веб-сайты. Посещение таких сайтов или нажатие на вредоносную рекламу может привести к автоматической загрузке и запуску программы-вымогателя в системе жертвы.
Наборы эксплойтов. Киберпреступники эксплуатируют уязвимости в программном обеспечении или операционных системах, используя наборы эксплойтов для доставки программ-вымогателей. Эти комплекты нацелены на известные уязвимости, которые не были исправлены, что позволяет злоумышленникам получить несанкционированный доступ к системам и развернуть программы-вымогатели.
Протокол удаленного рабочего стола (RDP). Злоумышленники могут подобрать учетные данные RDP или использовать слабые пароли для получения несанкционированного удаленного доступа к системам. Оказавшись внутри, они могут развернуть программы-вымогатели непосредственно на скомпрометированные системы.
Попутные загрузки: программы-вымогатели могут распространяться посредством попутных загрузок, при которых вредоносное ПО автоматически загружается и устанавливается в систему жертвы без ее согласия или ведома при посещении взломанных или вредоносных веб-сайтов.
Вредоносная реклама. Киберпреступники могут распространять программы-вымогатели посредством вредоносной рекламы (вредоносной рекламы), отображаемой на законных веб-сайтах. Нажатие на эти объявления может перенаправить пользователей на веб-сайты, на которых размещены программы-вымогатели, или инициировать автоматическую загрузку полезных нагрузок программ-вымогателей.
Удаленное выполнение кода (RCE). Уязвимости в веб-приложениях или серверном программном обеспечении можно использовать для удаленного выполнения произвольного кода. Злоумышленники могут использовать уязвимости RCE для развертывания программ-вымогателей на серверах или сетевых устройствах.
Сети обмена файлами. Программы-вымогатели могут распространяться через одноранговые (P2P) сети обмена файлами или через скомпрометированные сетевые ресурсы. Зараженные файлы, передаваемые через эти сети, могут привести к распространению программ-вымогателей среди других пользователей или устройств, подключенных к сети.
