Qu’est-ce que le ransomware Pomochit ?

Pomochit est un programme de type ransomware, identifié comme faisant partie de la famille des ransomwares MedusaLocker. Ce malware crypte les fichiers sur le système infecté, dans le but d'extorquer un paiement aux victimes en échange d'un décryptage.

Cryptage de fichiers et note de rançon

Sur notre machine de test, Pomochit a ajouté une extension « .pomochit01 » aux titres des fichiers cryptés. Par exemple, « 1.jpg » est devenu « 1.jpg.pomochit01 » et « 2.png » s'est transformé en « 2.png.pomochit01 ». Le numéro de l'extension peut varier en fonction de la variante du ransomware.

Après avoir terminé le processus de cryptage, Pomochit a déposé une demande de rançon nommée « How_to_back_files.html ». Cette note indique que le ransomware cible principalement les grandes entités plutôt que les particuliers.

La demande de rançon Pomochit se lit comme suit :

YOUR PERSONAL ID:
-

/!\ YOUR COMPANY NETWORK HAS BEEN PENETRATED /!\
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

No software available on internet can help you. We are the only ones able to
solve your problem.

We gathered highly confidential/personal data. These data are currently stored on
a private server. This server will be immediately destroyed after your payment.
If you decide to not pay, we will release your data to public or re-seller.
So you can expect your data to be publicly available in the near future..

We only seek money and our goal is not to damage your reputation or prevent
your business from running.

You will can send us 2-3 non-important files and we will decrypt it for free
to prove we are able to give your files back.

Contact us for price and get decryption software.

email:
pomocit01@kanzensei.top
pomocit01@surakshaguardian.com

* To contact us, create a new free email account on the site: protonmail.com
IF YOU DON'T CONTACT US WITHIN 72 HOURS, PRICE WILL BE HIGHER.

* Tor-chat to always be in touch:

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion

Présentation de la demande de rançon

La demande de rançon de Pomochit révèle que le réseau de l'entreprise de la victime a été compromis. Il indique que les fichiers cryptés ont été sécurisés à l’aide des algorithmes cryptographiques RSA et AES. De plus, des données confidentielles et personnelles ont été extraites lors de l'attaque.

La note met en garde les victimes contre le renommage, la modification ou l'utilisation d'outils de récupération tiers sur les fichiers cryptés, car ces actions pourraient rendre les données indéchiffrables. Les attaquants exigent un paiement pour le décryptage et menacent de divulguer le contenu volé si leurs demandes ne sont pas satisfaites. Si le contact n’est pas établi dans les 72 heures, le montant de la rançon augmentera. Les victimes sont autorisées à tester gratuitement le décryptage de quelques fichiers avant d’effectuer le paiement.

La nature du ransomware Pomochit

D'après des recherches approfondies sur les infections par ransomware, il est généralement impossible de décrypter les fichiers sans l'implication des attaquants. Cependant, le paiement de la rançon ne garantit pas la récupération des données, car les cybercriminels ne parviennent souvent pas à fournir les clés de décryptage ou les logiciels promis malgré le paiement. Il est donc fortement déconseillé de répondre aux demandes des criminels afin d'éviter de soutenir leurs activités illégales.

La suppression du ransomware Pomochit du système d'exploitation empêchera un cryptage supplémentaire des données. Malheureusement, la suppression ne restaurera pas les fichiers déjà compromis. La seule solution est de les récupérer à partir d’une sauvegarde, si celle-ci a été créée au préalable et est stockée ailleurs.

Stratégies de prévention et de sauvegarde

La meilleure façon de garantir la sécurité des données est de conserver des sauvegardes dans plusieurs emplacements distincts, tels que des serveurs distants, des périphériques de stockage débranchés et d'autres moyens sécurisés.

OceanSpy, ZILLA, LostInfo et GameCrypt font partie des variantes de ransomware les plus récentes. Ces programmes fonctionnent de la même manière en cryptant les fichiers et en exigeant un paiement pour le décryptage.

Méthodes de distribution des ransomwares

Les cybercriminels utilisent principalement des tactiques de phishing et d’ingénierie sociale pour propager des ransomwares et autres logiciels malveillants. Les logiciels malveillants sont souvent déguisés en programmes ou médias ordinaires. Alternativement, les logiciels malveillants peuvent être regroupés avec du contenu standard.

Les fichiers infectieux se présentent sous différents formats, tels que des archives (ZIP, RAR), des exécutables (.exe, .run) et des documents (Microsoft Office, PDF). Lorsqu'un fichier malveillant est exécuté, la chaîne d'infection commence.

Méthodes de distribution courantes

• Chevaux de Troie de type porte dérobée/chargeur : programmes malveillants qui fournissent un accès non autorisé au système de la victime.
• Téléchargements au volant : téléchargements furtifs ou trompeurs lancés à l'insu de l'utilisateur.
• Pièces jointes ou liens malveillants dans les courriers indésirables : e-mails de phishing contenant des liens ou des pièces jointes nuisibles.
• Escroqueries en ligne et publicité malveillante : publicités en ligne trompeuses ou sites Web frauduleux menant au téléchargement de logiciels malveillants.
• Canaux de téléchargement non fiables : sites gratuits et tiers, réseaux de partage P2P, etc.
• Outils d'activation de logiciels illégaux (« Cracks ») : outils non autorisés utilisés pour contourner l'activation de logiciels.
• Fausses mises à jour : fausses mises à jour pour des logiciels légitimes qui diffusent des logiciels malveillants.

Rester vigilant et maintenir des pratiques de sécurité robustes sont essentiels pour lutter contre les menaces de ransomware comme Pomochit. Des sauvegardes régulières, une gestion prudente des e-mails et le fait d'éviter les téléchargements suspects peuvent réduire considérablement le risque d'infection. N’oubliez pas qu’il vaut toujours mieux prévenir que guérir en matière de cybersécurité.