R3tr0 Ransomware

Une nouvelle variante appartenant à la famille des rançongiciels Dharma est utilisée par les cybercriminels pour verrouiller les données de leurs victimes. La menace est suivie en tant que R3tr0 Ransomware mais peut également être rencontrée en tant que RETRO-ENCRYPTED. Le logiciel malveillant est équipé d'une routine de cryptage indéchiffrable qui peut affecter tous les fichiers importants de la victime - bases de données, archives, documents, images, etc.

Chaque fichier crypté verra également son nom radicalement changé. La menace ajoutera d'abord une chaîne d'identification spécifique à la victime particulière. Il s'ensuivra avec une adresse e-mail sous le contrôle des attaquants - 'r3tr0crypt@tuta.io', dans ce cas. Enfin, les fichiers verrouillés auront '.r3tr0' ajouté en tant que nouvelle extension de fichier. Comme c'est généralement le cas pour une menace basée sur Dharma, R3tr0 Ransomware déposera deux notes de rançon sur les appareils piratés sous forme de fichiers « Info.hta » et « info.txt ».

Le fichier texte contiendra une version tronquée de la note de rançon, les utilisateurs étant simplement dirigés vers le contact avec les deux adresses e-mail des attaquants. L'ensemble complet d'instructions se trouve dans la fenêtre contextuelle générée à partir du fichier .hta. Ici, les acteurs de la menace ont de nouveau réitéré leurs e-mails à "r3tr0crypt@tuta.io" et "r3tr0crypt@msgsafe.io". Ils avertissent également leurs victimes que renommer ou essayer de déchiffrer les données avec des outils tiers pourrait endommager de façon permanente les données et rendre les fichiers irrécupérables.

Le texte intégral du message demandant une rançon est :

RÉTRO-CRYPTÉ
r3tr0
Ne vous inquiétez pas, vous pouvez retourner tous vos fichiers !
Si vous souhaitez les restaurer, écrivez au courrier: r3tr0crypt@tuta.io VOTRE ID -
Si vous n'avez pas répondu par mail dans les 12 heures, écrivez-nous par un autre mail : r3tr0crypt@msgsafe.io
ATTENTION!
Nous vous recommandons de nous contacter directement pour éviter de surpayer les agents
Ne renommez pas les fichiers cryptés.
N'essayez pas de déchiffrer vos données à l'aide d'un logiciel tiers, cela pourrait entraîner une perte de données permanente.
Le décryptage de vos fichiers avec l'aide de tiers peut entraîner une augmentation du prix (ils ajoutent leurs frais à nos) ou vous pouvez devenir victime d'une arnaque.

Les instructions dans le fichier texte sont :

toutes vos données nous ont été verrouillées
Vous voulez revenir ?
écrivez un e-mail r3tr0crypt@tuta.io ou r3tr0crypt@msgsafe.io