MIROIR Ransomware

Après avoir analysé en profondeur les menaces potentielles de logiciels malveillants, les chercheurs ont identifié de manière concluante MIRROR comme une variante du ransomware. L'objectif principal de la menace MIRROR est de crypter les fichiers présents sur les appareils compromis. De plus, il entreprend de renommer les fichiers et émet deux demandes de rançon : l'une sous la forme d'une fenêtre contextuelle et l'autre sous forme de fichier texte nommé « info-MIRROR.txt ».

MIRROR Ransomware utilise une convention de dénomination spécifique pour les fichiers qu'il crypte, en ajoutant l'identifiant de la victime, l'adresse e-mail « tpyrcedrorrim@tuta.io » et l'extension « .Mr ». Par exemple, il transforme « 1.pdf » en « 1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr » et « 2.png » devient « 2.png.id-9ECFA74E.[tpyrcedrorrim@tpyrcedrorrim@ tuta.io].M.,' et ainsi de suite. Cette menace particulière a été classée comme une variante au sein de la famille Dharma Ransomware .

Le ransomware MIRROR va au-delà du cryptage de fichiers

En plus de chiffrer les fichiers, MIRROR utilise des mesures stratégiques pour compromettre davantage la sécurité du système ciblé. L'une de ces tactiques consiste à désactiver le pare-feu, augmentant ainsi la vulnérabilité du système aux activités malveillantes orchestrées par le ransomware. De plus, MIRROR prend des mesures délibérées pour effacer les copies fantômes de volume, éliminant ainsi efficacement les points de restauration potentiels et entravant les efforts de récupération.

MIRROR exploite les vulnérabilités des services RDP (Remote Desktop Protocol) comme principal vecteur d'infection. Cela implique généralement l’exploitation d’informations d’identification de compte faibles via des méthodes telles que la force brute et les attaques par dictionnaire. En exploitant ces techniques, le ransomware obtient un accès non autorisé aux systèmes, en particulier à ceux dont la sécurité des comptes est insuffisamment gérée.

De plus, MIRROR présente la capacité d'extraire des données de localisation, lui permettant de discerner le contexte géographique des systèmes infectés. Il possède notamment la capacité d’exclure des emplacements prédéterminés de sa portée d’extraction de données. De plus, MIRROR intègre des mécanismes de persistance, garantissant qu'il peut maintenir un pied dans le système compromis sur une période prolongée.

Les victimes du Ransomware MIRROR se font extorquer de l'argent

La demande de rançon de MIRROR Ransomware sert de communication des attaquants à la victime, indiquant explicitement que tous les fichiers de la victime ont été cryptés. Il décrit une voie potentielle de restauration de fichiers, demandant à la victime d'initier le contact via une adresse e-mail spécifiée (tpyrcedrorrim@tuta.io) et fournissant un identifiant unique.

Comme moyen de communication alternatif, la note fournit également une autre adresse e-mail (mirrorrorrim@cock.li). La note déconseille notamment fortement le recours à des intermédiaires pour la communication, citant des risques potentiels tels que des frais excessifs, des débits injustifiés et le rejet de transactions. Les attaquants affirment leur capacité à fournir des services de récupération de données cryptées et offrent des garanties, notamment une démonstration de récupération impliquant jusqu'à trois fichiers pour prouver leur compétence.

De plus, la demande de rançon émet un avertissement à l’intention de la victime, déconseillant explicitement de renommer les fichiers cryptés. Il met également en garde contre toute tentative de décryptage via un logiciel tiers, en soulignant les conséquences potentielles d'une perte permanente de données ou d'une vulnérabilité aux escroqueries. L'objectif est de guider la victime sur la ligne de conduite la plus sûre afin de maximiser les chances de réussite de la récupération des fichiers tout en minimisant les risques potentiels.

Prenez des mesures pour protéger vos appareils contre les infections par ransomware

Les ransomwares constituent une menace importante pour la sécurité des appareils numériques, avec des conséquences potentielles allant de la perte de données à l'extorsion financière. La mise en œuvre de mesures proactives est cruciale pour renforcer les appareils contre de telles infections. Voici cinq mesures efficaces que les utilisateurs peuvent prendre :

• Mettre régulièrement à jour les systèmes d'exploitation et les logiciels : il est essentiel de maintenir les systèmes d'exploitation et les logiciels à jour, car les mises à jour incluent souvent des correctifs de sécurité qui corrigent les vulnérabilités. Recherchez et appliquez régulièrement les mises à jour pour réduire le risque que des ransomwares exploitent des faiblesses connues.
• Installer et maintenir un logiciel de sécurité : l'utilisation d'un logiciel de sécurité fiable offre une couche de défense supplémentaire contre les ransomwares. Assurez-vous que le programme anti-malware est régulièrement mis à jour et effectuez des analyses programmées pour détecter et éliminer les menaces potentielles avant qu'elles ne puissent compromettre votre appareil.
• Soyez prudent avec les pièces jointes et les liens des e-mails : les ransomwares infiltrent souvent les systèmes via des e-mails de phishing contenant des pièces jointes ou des liens malveillants. Soyez très prudent lorsque vous ouvrez des e-mails provenant d’expéditeurs inconnus, essayez de ne pas cliquer sur des liens suspects et évitez de télécharger des pièces jointes à moins que leur légitimité ne soit vérifiée.
• Sauvegarder régulièrement les données : La création de sauvegardes régulières des données essentielles est une mesure préventive essentielle. Lors d'une attaque de ransomware, les sauvegardes récentes permettent aux utilisateurs de restaurer leurs fichiers sans succomber à l'extorsion. Stockez les sauvegardes sur un appareil externe ou un service cloud sécurisé.
• Mettre en œuvre des mesures de sécurité réseau : le renforcement de la sécurité du réseau peut contrecarrer les attaques de ransomwares. Utilisez des pare-feu et des systèmes de détection/prévention des intrusions, utilisez des mots de passe uniques et forts pour tous les appareils et comptes, et envisagez de segmenter les réseaux pour limiter l'impact potentiel d'une infection sur l'ensemble du système.

En adoptant ces mesures, les utilisateurs peuvent améliorer considérablement la résilience de leurs appareils contre les ransomwares, en protégeant leurs précieuses données et en préservant l'intégrité de leur environnement numérique.

Le texte intégral de la demande de rançon principale laissée par MIRROR Ransomware est :

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

Le fichier texte déposé par MIRROR Ransomware contient le message suivant :

'toutes vos données nous ont été verrouillées

Tu veux revenir ?

écrivez un email à tpyrcedrorrim@tuta.io ou mirrorrorrim@cock.li'