PayForRepair Ransomware slår en prislapp på dina filer

Ytterligare ett hot på cyberscenen

Cybersäkerhetsforskare har upptäckt en annan stam av ransomware som tar sig igenom infekterade system: PayForRepair . Detta skadliga program tillhör den välkända Dharma ransomware-familjen och följer ett välbekant men farligt mönster – krypterar filer och kräver en lösensumma i utbyte mot dekryptering.

PayForRepair är designat för att låsa offer från deras data samtidigt som en unikt identifierbar tagg appliceras på varje krypterad fil. Infekterade filer döps om till att inkludera ett offerspecifikt ID, angriparnas e-postadress och tillägget ".P4R". Offren får också lösensedlar både som popup-fönster och som en textfil med namnet info.txt , som släpps i varje drabbad mapp.

Så här står det i lösennotan:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: payforrepair@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:payforrepair@mailum.com

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Vad PayForRepair vill ha

Ransomware som PayForRepair är skapad för att göra personlig och affärsdata otillgänglig genom att kryptera den med starka algoritmer. När de väl är krypterade kan filerna inte öppnas eller användas om inte en unik dekrypteringsnyckel tillhandahålls – något som bara angriparen har. PayForRepairs lösennota uppmanar offren att skicka e-post till angriparna för att förhandla om dataåterställning. Popup-fönstret förtydligar situationen ytterligare och säger att dekryptering endast kommer att tillhandahållas efter att betalning har gjorts i Bitcoin .

Angriparna erbjuder ett tecken på "god tro" genom att tillåta offret att dekryptera upp till tre filer gratis, förutsatt att dessa filer uppfyller vissa kriterier. Denna taktik används ofta för att bygga upp förtroende och pressa offret att betala. Men de varnar också offer för att använda återställningsverktyg från tredje part och hävdar att det permanent kan korrumpera de krypterade filerna – en rädslataktik som är typisk för ransomware-kampanjer.

Varför Dharma-baserade attacker är svåra att slå

Som medlem av Dharma ransomware-familjen delar PayForRepair flera egenskaper med sina motsvarigheter. Även om det skonar kritiska systemfiler – vilket innebär att offer fortfarande kan använda sina enheter – riktar den sig urskillningslöst på lokala och nätverksdelade filer. Ransomwaren ökar sin framgångsfrekvens genom att avsluta processer relaterade till öppna filer, som de som används av databaser eller produktivitetsappar, vilket säkerställer att dessa filer också kan låsas.

För att kontrollera infekterade system bäddar Dharma-baserad skadlig programvara ofta in sig på specifika platser på maskinen, såsom %LOCALAPPDATA% -katalogen, och ställer in sig på att starta varje gång datorn startas om. Den tar också bort alla Volume Shadow Copies – en inbyggd säkerhetskopieringsfunktion i Windows – så att offer inte bara kan återställa sina system till ett tidigare tillstånd.

Den hårda verkligheten: Att betala kanske inte hjälper

Tyvärr är oddsen staplade mot offer när PayForRepair har låst deras filer. De krypteringsmetoder som används är generellt robusta och utan angriparnas dekrypteringsnyckel är återställning nästan omöjlig. Även om offren betalar lösensumman, finns det ingen garanti för att dekrypteringsverktygen faktiskt kommer att tillhandahållas. I många fall tar cyberbrottslingar helt enkelt betalningen och försvinner.

Det är därför cybersäkerhetsexperter starkt avråder från att betala någon lösensumma. Att göra det finansierar inte bara brottslig verksamhet utan främjar också tillväxten av ransomware as a service-modeller (RaaS), där malware-kit säljs eller hyrs ut till andra dåliga aktörer för omfattande attacker.

Hur PayForRepair sprider sig

Den vanligaste metoden för infektion för Dharma ransomware-varianter, inklusive PayForRepair, är genom svaga RDP-tjänster (Remote Desktop Protocol). Angripare använder brute-force-tekniker för att gissa lösenord och få tillgång till system med dålig inloggningssäkerhet. Väl inne kan de enkelt distribuera ransomware och inaktivera försvar som brandväggar.

RDP är dock inte den enda vektorn. Andra vanliga metoder inkluderar nätfiske-e-postmeddelanden, skadliga filbilagor, falska programuppdateringar och nedladdningar från overifierade källor. Ofta är ransomware förklädd som ett harmlöst utseende dokument eller installationsfil. När den öppnas installerar den sig själv och börjar kryptera filer.

I vissa fall kan ransomware spridas i sidled över nätverk eller till och med infektera flyttbara media som USB-enheter. Detta understryker behovet av försvar i flera lager som går utöver bara antivirusprogram.

Optimala metoder för förebyggande och återhämtning

Eftersom att ta bort ransomware som PayForRepair inte kommer att dekryptera dina filer, är förebyggande det bästa försvaret. Ett av de mest kritiska stegen är att underhålla regelbundna, offline-säkerhetskopior lagrade på säkra och separata platser – helst i både fysiska miljöer och molnmiljöer. Detta säkerställer att även om du blir attackerad kan data återställas utan att betala en lösensumma.

Användare bör också vara försiktiga när de surfar online eller öppnar oönskade e-postmeddelanden. Bilagor och länkar från okända källor ska alltid behandlas med misstänksamhet. Dessutom bör organisationer inaktivera oanvänd RDP-åtkomst, tillämpa starka lösenordspolicyer och regelbundet uppdatera programvara för att korrigera kända sårbarheter.

Utvecklande Ransomware-landskap

PayForRepair ansluter sig till en växande lista av ransomware-stammar, inklusive andra som Jackalock , DarkMystic och VerdaCrypt . Var och en arbetar med lite olika metoder och mål, men alla har ett gemensamt syfte: att låsa data och pressa ut betalningar. Vissa kräver några hundra dollar; andra, miljoner – beroende på målet.

I takt med att hoten fortsätter att utvecklas måste också vår förståelse för hur de fungerar och hur man försvarar sig mot dem. Även om PayForRepair bara är ett namn i ett fullsatt ransomware-fält, är dess metoder en tydlig påminnelse om hur till och med rutinmässig surfning eller e-postkontroll kan öppna dörren till betydande störningar - om inte lämpliga skyddsåtgärder finns på plats.