Phobos Ransomware

Phobos Ransomware est un cheval de Troie de cryptage ransomware qui a été observé pour la première fois le 21 octobre 2017. Le Phobos Ransomware est utilisé pour cibler les utilisateurs d'ordinateurs en Europe occidentale et aux États-Unis et délivre ses messages de rançon en anglais aux victimes. La principale façon dont le Phobos Ransomware est distribué consiste à utiliser des pièces jointes de courrier indésirable, qui peuvent apparaître comme des documents Microsoft Word qui ont activé des macros. Ces scripts de macro sont conçus pour télécharger et installer le Phobos Ransomware sur l'ordinateur de la victime lors de l'accès au fichier corrompu. Il est probable que le Phobos Ransomware soit une menace indépendante car il ne semble pas appartenir à une vaste famille de fournisseurs de Ransomware as a Service (RaaS).

Cette semaine dans Malware Ep2: Phobos Ransomware cible l'Europe occidentale et les États-Unis

Comment identifier les fichiers cryptés par le ransomware Phobos

Comme la plupart des autres menaces similaires, le Phobos Ransomware fonctionne en cryptant les fichiers de la victime à l'aide d'un algorithme de cryptage puissant. Le cryptage rend les fichiers inaccessibles, permettant au Phobos Ransomware de prendre les données de la victime en otage jusqu'à ce que la victime paie une rançon. Le Phobos Ransomware ciblera les fichiers générés par l'utilisateur, qui peuvent inclure des fichiers avec les extensions suivantes:

.aif, .apk, .arj, .asp, .bat, .bin, .cab, .cda, .cer, .cfg, .cfm, .cpl, .css, .csv, .cur, .dat, .deb , .dmg, .dmp, .doc, .docx, .drv, .gif, .htm, .html, .icns, .iso, .jar, .jpeg, .jpg, .jsp, .log, .mid,. mp3, .mp4, .mpa, .odp, .ods, .odt, .ogg, .part, .pdf, .php, .pkg, .png, .ppt, .pptx, .psd, .rar, .rpm, .rss, .rtf, .sql, .svg, .tar.gz, .tex, .tif, .tiff, .toast, .txt, .vcd, .wav, .wks, .wma, .wpd, .wpl, .wps, .wsf, .xlr, .xls, .xlsx, .zip.

Comme on peut le remarquer dans la liste ci-dessus, le Phobos Ransomware cible les documents, les médias, les images et autres fichiers couramment utilisés et les crypte à l'aide du cryptage AES 256. Une fois les fichiers de la victime cryptés, le Ransomware Phobos communiquera avec son serveur de commande et de contrôle pour relayer les données sur l'ordinateur infecté et recevoir les données de configuration. Le Phobos Ransomware identifiera les fichiers cryptés par son attaque en changeant leurs noms par la chaîne suivante:

..ID [huit caractères aléatoires]. [Ottozimmerman@protonmail.ch] .PHOBOS

Les demandes de rançon du Ransomware Phobos

Le Phobos Ransomware délivre une note de rançon sous la forme d'une fenêtre de programme avec le titre `` Vos fichiers sont cryptés! '' après que les fichiers de la victime ont été chiffrés et renommés. Cette fenêtre du programme comprend le logo «PHOBOS» dans l'un des coins de la fenêtre et affirme que la victime doit payer une rançon pour restaurer les fichiers infectés. La note de rançon que le Phobos Ransomware affiche lors de son attaque sur l'ordinateur d'une victime se lit comme suit:

'Tous vos fichiers sont cryptés
Bonjour le monde
Les données sur ce PC se sont transformées en code binaire inutile
Pour revenir à la normale, veuillez nous contacter par cet email: OttoZimmerman@protonmail.ch
Définissez le sujet de votre message sur "ID de chiffrement: [8 caractères aléatoires]"
Faits intéressants:
1. Au fil du temps, le coût augmente, ne perdez pas votre temps
2. Nous sommes les seuls à pouvoir vous aider, bien sûr, personne d’autre.
3. SOYEZ PRUDENT Si vous essayez toujours de trouver d'autres solutions au problème, faites une copie de sauvegarde des fichiers sur lesquels vous souhaitez expérimenter, a. jouer avec eux. Sinon, ils peuvent être endommagés de façon permanente.
4. Tous les services qui vous offrent de l'aide ou qui vous prennent simplement de l'argent et disparaissent, ou ils seront des intermédiaires entre nous, avec une valeur exagérée. Puisque l'antidote n'est que parmi les créateurs du virus
PHOBOS '

Faire face au ransomware Phobos

Malheureusement, une fois que Phobos Ransomware crypte les fichiers, il devient impossible de restaurer les fichiers affectés sans la clé de décryptage. Pour cette raison, il est important de prendre des mesures préventives pour vous assurer que vos données sont bien protégées. La meilleure protection contre les menaces comme le Phobos Ransomware est d'avoir un système de sauvegarde fiable. Avoir des copies de sauvegarde de tous les fichiers signifie que les victimes de l'attaque Phobos Ransomware peuvent restaurer leurs données après une attaque rapidement et de manière fiable.

Mise à jour du 4 janvier 2019 - Ransomware 'Job2019@tutanota.com'

Le ransomware `` Job2019@tutanota.com '' est classé comme une variante légèrement mise à jour du Ransomware Phobos qui a été initialement publié en octobre 2017. Le Ransomware 'Job2019@tutanota.com' apparaît un peu plus d'un an plus tard sans aucune mise à jour significative à afficher. Le ransomware 'Job2019@tutanota.com' a été identifié en janvier 2019 et semble se propager de la même manière que son prédécesseur. La charge utile de la menace est fournie via des scripts de macro intégrés dans des fichiers Microsoft Word que vous pourriez voir attachés à des mises à jour apparemment officielles des médias sociaux et des magasins en ligne. Le ransomware 'Job2019@tutanota.com' est susceptible de créer un dossier temporaire sur le lecteur système principal et de charger un processus avec un nom aléatoire dans le gestionnaire de tâches. Le cheval de Troie Ransomware 'Job2019@tutanota.com' est configuré pour supprimer les instantanés Shadow Volume avant d'encoder vos photos, texte, musique et vidéo. La nouvelle variante est connue pour promouvoir les services de décryptage via deux comptes de messagerie, à savoir «Job2019@tutanota.com» et «Cadillac.407@aol.com». La note de rançon est conçue comme une petite fenêtre de programme colorée dans la même nuance de bleu que le thème Windows 10 par défaut. Le cheval de Troie affiche une fenêtre intitulée «Vos fichiers sont chiffrés!». La fenêtre semble être chargée à partir de 'Phobos.hta', qui est déposée dans le dossier Temp sous Windows et lit:

'Tous vos fichiers sont cryptés
Bonjour le monde
Les données sur ce PC se sont transformées en un code binaire inutile
Pour revenir à la normale, veuillez nous contacter par cet e-mail: OttoZimmerman@protonmail.ch
Définissez le sujet de votre message sur "ID de chiffrement: [numéro à 8 chiffres]
1. Au fil du temps, le coût augmente, ne perdez pas votre temps
2. Nous sommes les seuls à pouvoir vous aider, bien sûr, personne d’autre.
3. SOYEZ PRUDENT !!! Si vous essayez toujours de trouver d'autres solutions au problème, faites une copie de sauvegarde des fichiers sur lesquels vous souhaitez expérimenter et jouez avec. Sinon, ils peuvent être endommagés de façon permanente
4. Tous les services qui vous offrent de l'aide ou qui vous prennent simplement de l'argent et disparaissent, ou ils seront des intermédiaires entre nous, avec une valeur exagérée. Puisque l'antidote n'est que parmi les créateurs du virus '

On dit que certaines variantes du ransomware «Job2019@tutanota.com» produisent une simple boîte de dialogue au lieu de «Vos fichiers sont chiffrés!». écran qui dit:

'Tous vos fichiers sont cryptés
Pour déchiffrer vos fichiers, contactez-nous en utilisant cet e-mail: [adresse e-mail] Veuillez définir le sujet «ID de cryptage: [numéro à 8 chiffres].
Nous proposons le décryptage gratuit de vos fichiers de test comme preuve. Vous pouvez les joindre à votre e-mail et nous vous en enverrons des décryptés.
Le prix du décryptage augmente avec le temps, dépêchez-vous et obtenez une réduction.
Le décryptage à l'aide de tiers peut conduire à une escroquerie ou à une augmentation du prix.

Les données concernées peuvent recevoir l'une des deux extensions suivantes: ".ID- [numéro à 8 chiffres]. [Job2019@tutanota.com] .phobos" ou ".ID- [numéro à 8 chiffres]. [Job2019@tutanota.com] .phobos ». Par exemple, «Sabaton-Carolus Rex.mp3» peut être renommé en «Sabaton-Carolus Rex.mp3.ID-91651720. [Job2019@tutanota.com] .phobos» et «Sabaton-Carolus Rex.mp3.ID-68941751. [Job2019@tutanota.com] .phobos. » Nous vous recommandons d'éviter les négociations avec les acteurs du ransomware car vous risquez de ne pas recevoir de décrypteur. Vous devez utiliser des sauvegardes de données pour reconstruire la structure de vos fichiers et exécuter une analyse complète du système pour supprimer les ressources qui peuvent avoir été laissées par le ransomware 'Job2019@tutanota.com'.

Phobos Ransomware captures d'écran