HardBit 2.0 Ransomware

Détecté pour la première fois en octobre 2022, HardBit est une menace de ransomware qui a été développée pour cibler les entreprises et les organisations, extorquant aux victimes des paiements sous forme de crypto-monnaie pour que leurs données soient déchiffrées. Ce logiciel menaçant a depuis évolué vers sa deuxième version, HardBit 2.0, qui a été observée vers la fin novembre 2022 et a continué à se répandre tout au long des derniers mois de 2022 et au-delà. Ce ransomware fonctionne de la même manière que d'autres variantes modernes en collectant des données sensibles dès qu'il s'infiltre dans un réseau avant de lancer sa charge utile pour chiffrer tous les fichiers du système. Des détails sur la menace et ses capacités dommageables ont été publiés dans un rapport d'experts en logiciels malveillants.

Le HardBit 2.0 demande les détails de l’assurance cybersécurité des victimes

Contrairement à de nombreux autres cybergangs de rançongiciels, les opérateurs de HardBit n'ont pas de site de fuite dédié, ce qui signifie que les victimes ne sont pas menacées par l'exposition publique de leurs données détournées. Cependant, le groupe menace de nouvelles attaques si leurs demandes ne sont pas satisfaites.

Pour contacter les gestionnaires HardBit, les victimes doivent utiliser la note de rançon prédéfinie contenue dans la menace de malware. Cette note encourage les victimes à les contacter par e-mail ou via la plateforme de messagerie instantanée Tox pour des négociations concernant le montant en bitcoins qu'elles doivent payer pour la clé de déchiffrement. En plus de cela, ceux qui ont des polices d'assurance cyber sont invités à partager les détails afin que leurs demandes puissent être ajustées en conséquence.

Le rançongiciel HardBit 2.0 supprime les sauvegardes et compromet la sécurité des appareils

Pour éviter d'être analysé dans l'environnement sandbox de la victime, HardBit Ransomware collecte des informations sur l'hôte de la victime en utilisant les fonctions de gestion d'entreprise Web et Windows Management Instrumentation (WMI). Le ransomware obtient divers détails du système tels que les composants matériels installés, les paramètres de la carte réseau, ainsi que la configuration IP et l'adresse MAC, le fabricant du système et la version du BIOS, le nom d'utilisateur et le nom de l'ordinateur et les informations de fuseau horaire.

Pour établir leur identité de marque sur les fichiers cryptés, la charge utile du ransomware dépose une icône de fichier HardBit personnalisée dans le dossier de documents de la victime. De plus, le ransomware enregistre une classe dans le registre Windows pour associer l'extension de fichier « .hardbit2 » à l'icône déposée.

En tant que tactique courante utilisée par la plupart des menaces de ransomwares modernes, HardBit prend plusieurs mesures de pré-chiffrement pour réduire la posture de sécurité de l'hôte victime. Par exemple, le service de cliché instantané de volume (VSS) est supprimé à l'aide du gestionnaire de contrôle de service pour empêcher les efforts de récupération. Le catalogue de l'utilitaire de sauvegarde Windows est également supprimé, ainsi que tous les clichés instantanés, pour contrecarrer toute tentative de récupération.

Pour éviter la détection et l'interruption du processus de rançongiciel, diverses fonctionnalités de l'antivirus Windows Defender sont désactivées via une série de modifications du registre Windows. Ces fonctionnalités désactivées incluent la protection anti-falsification, les fonctionnalités anti-logiciels espions, la surveillance comportementale en temps réel, la protection à l'accès en temps réel et l'analyse des processus en temps réel.

Pour garantir que la charge utile HardBit Ransomware s'exécute automatiquement à chaque redémarrage du système, une version du ransomware est copiée dans le dossier "Démarrage" de la victime. Si ce fichier n'est pas déjà présent, l'exécutable est renommé pour imiter le fichier exécutable de l'hôte de service légitime, "svchost.exe", pour éviter d'être détecté.

Le processus de cryptage et les exigences du rançongiciel HardBit 2.0

Après avoir déterminé les lecteurs et volumes disponibles sur la machine de la victime, la charge utile du rançongiciel HardBit analyse les répertoires et fichiers identifiés pour identifier toutes les données à chiffrer. Les fichiers qui ont été sélectionnés pour le chiffrement sont ouverts puis écrasés, ce qui est une tactique utilisée pour entraver les efforts de récupération. Cette technique est utilisée au lieu d'écrire des données cryptées dans un nouveau fichier et de supprimer l'original, ce qui est une approche moins sophistiquée.

Une fois les fichiers chiffrés, ils sont renommés avec un nom de fichier apparemment aléatoire suivi d'un identifiant qui comprend une adresse e-mail de contact, "threatactor@example.tld", et l'extension de fichier ".hardbit2". De plus, une note de rançon en texte brut et une note de rançon d'application HTML (HTA) sont écrites à la racine du lecteur et dans tous les dossiers contenant des fichiers cryptés. Ces notes de rançon fournissent des instructions sur la façon de payer la rançon et de recevoir la clé de déchiffrement.

Une fois le processus de cryptage terminé, un fichier image est enregistré sur le bureau de la victime et défini comme fond d'écran du système.

Le texte des demandes de HardBit 2.0 Ransomware est :

'¦¦¦¦¦HARDBIT RANSOMWARE¦¦¦¦¦

----

ce qui s'est passé?

Tous vos fichiers ont été volés puis cryptés. Mais ne vous inquiétez pas, tout est en sécurité et vous sera restitué.

----

Comment puis-je récupérer mes fichiers ?

Vous devez nous payer pour récupérer les fichiers. Nous n'avons pas de compte bancaire ou paypal, vous n'avez qu'à nous payer via Bitcoin.

----

Comment puis-je acheter des bitcoins ?

Vous pouvez acheter des bitcoins sur tous les sites réputés du monde et nous les envoyer. Il suffit de chercher comment acheter des bitcoins sur Internet. Notre suggestion est ces sites.

>>https://www.binance.com/en<< >>https://www.coinbase.com/<< >>https://localbitcoins.com/<< >>https://www.bybit .com/en-US/<<

----

Quelle est votre garantie pour restaurer les fichiers ?

C'est juste une entreprise. Nous ne nous soucions absolument pas de vous et de vos offres, sauf d'obtenir des avantages. Si nous ne faisons pas notre travail et nos responsabilités, personne ne coopérera avec nous. Ce n'est pas dans notre intérêt.

Pour vérifier la capacité de retour des fichiers, vous pouvez nous envoyer 2 fichiers avec des extensions SIMPLES (jpg, xls, doc, etc... pas des bases de données !) et de petites tailles (max 1 Mo), nous les décrypterons et vous les renverrons pour vous.

C'est notre garantie.

----

Comment vous contacter ?

Ou contactez-nous par email :>>godgood55@tutanota.com<< ou >>alexgod5566@xyzmailpro.com<<

----

Comment se déroulera le processus de paiement après le paiement ?

Après le paiement, nous vous enverrons l'outil de décryptage avec le guide et nous serons avec vous jusqu'à ce que le dernier fichier soit décrypté.

----

Que se passe-t-il si je ne vous paie pas ?

Si vous ne nous payez pas, vous n'aurez jamais accès à vos fichiers car la clé privée est uniquement entre nos mains. Cette transaction n'est pas importante pour nous,

mais c'est important pour vous, car non seulement vous n'avez pas accès à vos fichiers, mais en plus vous perdez du temps. Et plus le temps passe, plus vous perdrez et

Si vous ne payez pas la rançon, nous attaquerons à nouveau votre entreprise à l'avenir.

----

Quelles sont vos recommandations ?

- Ne changez jamais le nom des fichiers, si vous souhaitez manipuler les fichiers, assurez-vous d'en faire une sauvegarde. S'il y a un problème avec les fichiers, nous n'en sommes pas responsables.

- Ne travaillez jamais avec des sociétés intermédiaires, car elles vous facturent plus d'argent. Par exemple, si nous vous demandons 50 000 dollars, ils vous diront 55 000 dollars. N'ayez pas peur de nous, appelez-nous.

----

Très important! Pour ceux qui ont une cyber-assurance contre les attaques de ransomwares.

Les compagnies d'assurances vous demandent de garder secrètes vos informations d'assurance, c'est-à-dire de ne jamais payer le montant maximum prévu au contrat ou de ne rien payer du tout, perturbant les négociations.

La compagnie d'assurance tentera de faire dérailler les négociations de toutes les manières possibles afin de pouvoir ensuite faire valoir que la couverture vous sera refusée parce que votre assurance ne couvre pas le montant de la rançon.

Par exemple votre entreprise est assurée pour 10 millions de dollars, en négociant avec votre agent d'assurance la rançon il nous proposera le montant le plus bas possible, par exemple 100 mille dollars,

nous refuserons le montant dérisoire et demanderons par exemple le montant de 15 millions de dollars, l'agent d'assurance ne nous proposera jamais le seuil supérieur de votre assurance de 10 millions de dollars.

Il fera tout pour faire dérailler les négociations et refusera de nous payer complètement et vous laissera seul avec votre problème. Si vous nous avez dit anonymement que votre entreprise était assurée pour 10 millions de dollars et d'autres

détails importants concernant la couverture d'assurance, nous n'exigerions pas plus de 10 millions de dollars dans la correspondance avec l'agent d'assurance. De cette façon, vous auriez évité une fuite et décrypté vos informations.

Mais puisque l'agent d'assurance sournois négocie délibérément pour ne pas payer la réclamation d'assurance, seule la compagnie d'assurance gagne dans cette situation. Pour éviter tout cela et gagner de l'argent sur l'assurance,

assurez-vous de nous informer anonymement de la disponibilité et des conditions de la couverture d'assurance, cela profite à vous et à nous, mais ne profite pas à la compagnie d'assurance. Les pauvres assureurs multimillionnaires ne le feront pas

mourir de faim et ne deviendra pas plus pauvre du paiement du montant maximum spécifié dans le contrat, car tout le monde sait que le contrat est plus cher que l'argent, alors laissez-les remplir les conditions

prescrit dans votre contrat d'assurance, grâce à notre interaction.

-------------------------------------------------- -------------------------------------------------- -------------------------------------------------- -------------------------------------------------- -----

Votre identifiant :

Ta clé :'