ZENEX Ransomware będzie szyfrować systemy ofiar

Podczas badania nowych próbek złośliwych plików zidentyfikowaliśmy ZENEX jako oprogramowanie ransomware powiązane z rodziną Proton. ZENEX został stworzony, aby szyfrować pliki, zmieniać nazwy zaszyfrowanych plików, wyświetlać notatkę z żądaniem okupu zatytułowaną „#Zenex-Help.txt” i modyfikować tapetę pulpitu.

ZENEX modyfikuje nazwy plików, dodając adres e-mail decrypthelp0@gmail.com i dodając rozszerzenie „.ZENEX”. Na przykład przekształca „1.jpg” w „1.jpg.[decrypthelp0@gmail.com].ZENEX”, a „2.png” zmienia się w „2.png.[decrypthelp0@gmail.com].ZENEX”, i tak dalej.

Notatka z żądaniem okupu informuje ofiarę, że jej pliki zostały zaszyfrowane i zabrane bez możliwości odzyskania bez skorzystania z usługi deszyfrowania oferowanej przez atakujących. W notatce podkreślono motyw finansowy ataku, obiecując oprogramowanie do odszyfrowania i usunięcie danych po dokonaniu płatności. Aby wzbudzić zaufanie, napastnicy zapewniają gwarancję, odszyfrowując mały plik jako dowód swoich możliwości.

Dane kontaktowe są dostarczane za pośrednictwem adresów e-mail (decrypthelp0@gmail.com i cryptblack@mailfence.com), czemu towarzyszy ostrzeżenie przed zwracaniem się o pomoc do firm zajmujących się odzyskiwaniem danych, które według atakujących są niewiarygodnymi pośrednikami. Podkreślono pilność, zachęcając do szybkiej płatności w celu zapewnienia niższej ceny, i wydano ostrzeżenie przed manipulowaniem zaszyfrowanymi plikami, aby uniknąć skomplikowania procesu deszyfrowania.

Żądanie okupu ZENEX wykorzystuje szablon protonowy

Pełny tekst żądania okupu ZENEX brzmi następująco:

ZENEX
What happened?
We encrypted and stolen all of your files.
We use AES and ECC algorithms.
Nobody can recover your files without our decryption service.

How to recover?
We are not a politically motivated group and we want nothing more than money.
If you pay, we will provide you with decryption software and destroy the stolen data.

What guarantees?
You can send us an unimportant file less than 1 MG, We decrypt it as guarantee.
If we do not send you the decryption software or delete stolen data, no one will pay us in future so we will keep our promise.

How to contact us?
Our email address: decrypthelp0@gmail.com
In case of no answer within 24 hours, contact to this email: cryptblack@mailfence.com
Write your personal ID in the subject of the email.

Your personal ID: -

Ostrzeżenia!

Nie zwracaj się do firm windykacyjnych, to tylko pośrednicy, którzy na Tobie zarobią i oszukają.
Potajemnie negocjują z nami, kupują oprogramowanie odszyfrowujące i sprzedają Ci je wielokrotnie drożej, w przeciwnym razie po prostu Cię oszukają.

Nie wahaj się długo. Im szybciej zapłacisz, tym niższa cena.

Nie usuwaj ani nie modyfikuj zaszyfrowanych plików, spowoduje to problemy z odszyfrowaniem plików.

W jaki sposób oprogramowanie ransomware takie jak ZENEZ może zainfekować Twój system?

Ransomware takie jak ZENEZ może zainfekować Twój system na różne sposoby, a zrozumienie tych punktów wejścia ma kluczowe znaczenie dla wdrożenia skutecznych środków cyberbezpieczeństwa. Oto typowe sposoby, w jakie oprogramowanie ransomware może przedostać się do systemu:

E-maile phishingowe:
Jedną z najpopularniejszych metod są wiadomości e-mail phishingowe. Osoby atakujące mogą wysyłać wiadomości e-mail zawierające złośliwe załączniki lub łącza. Gdy użytkownik otworzy załącznik lub kliknie łącze, oprogramowanie ransomware zostaje wykonane.

Złośliwe strony internetowe:
Odwiedzanie zainfekowanych lub złośliwych witryn internetowych może narazić system na pobieranie dyskowe. Te pliki do pobrania mogą po cichu zainstalować oprogramowanie ransomware na Twoim komputerze bez Twojej wiedzy.

Złośliwe reklamy:
Złośliwe reklamy na legalnych stronach internetowych mogą prowadzić do infekcji oprogramowaniem ransomware. Kliknięcie tych reklam może spowodować pobranie i wykonanie oprogramowania ransomware.

Zestawy exploitów:
Zestawy exploitów wykorzystują luki w oprogramowaniu lub przeglądarkach. Jeśli Twój system ma nieaktualne oprogramowanie lub niezałatane luki w zabezpieczeniach, oprogramowanie ransomware może wykorzystać te słabości, aby uzyskać dostęp.

Ataki na protokół Remote Desktop Protocol (RDP):
Jeśli Twój system ma otwarty i niezabezpieczony port RDP, osoby atakujące mogą zastosować ataki typu brute-force lub wykorzystać słabe dane uwierzytelniające w celu uzyskania nieautoryzowanego dostępu i wdrożenia oprogramowania ransomware.

Inżynieria społeczna:
Cyberprzestępcy mogą stosować taktykę inżynierii społecznej, aby nakłonić użytkowników do pobrania lub uruchomienia złośliwych plików. Może to obejmować kuszenie użytkowników fałszywymi aktualizacjami oprogramowania, bezpłatnymi plikami do pobrania lub kuszącymi wiadomościami.

Pobieranie na miejscu:
Pobieranie typu drive-by ma miejsce, gdy złośliwe oprogramowanie jest automatycznie pobierane i uruchamiane, gdy użytkownik odwiedza zaatakowaną witrynę internetową. Może się to zdarzyć bez jakiejkolwiek interakcji użytkownika.

Złośliwe załączniki do wiadomości e-mail:
Ransomware może być dostarczane poprzez załączniki do wiadomości e-mail, które wydają się nieszkodliwe, takie jak pliki PDF lub dokumenty pakietu Office. Po otwarciu załącznika następuje aktywacja szkodliwego oprogramowania.