Nispeten yeni Venüs fidye yazılımlarının arkasındaki tehdit aktörleri, Windows cihazlarını şifrelemek için kamuya maruz kalan uzak masaüstü hizmetlerine giriyor.
Venüs fidye yazılımı Ağustos 2022 ortasında faaliyet göstermeye başlamış gibi görünüyor ve o zamandan beri dünya çapında kurbanları şifreledi. Ancak, 2021'den beri aynı şifreli dosya uzantısını kullanan başka bir fidye yazılımı vardı, ancak ilişkili olup olmadıkları belirsiz.
BleepingComputer ilk olarak fidye yazılımını MalwareHunterTeam'den öğrendi ve bu konuda bilgi arayan güvenlik analisti Linuxct tarafından temasa geçti.
Linuxct, BleepingComputer'a tehdit aktörlerinin Windows uzak masaüstü protokolü aracılığıyla bir kurbanın kurumsal ağına eriştiğini söyledi.
BleepingComputer forumlarındaki bir başka kurban, hizmet için standart olmayan bir bağlantı noktası numarası kullanırken bile RDP'nin ağlarına ilk erişim için kullanıldığını bildirdi.
Yürütüldüğünde, Venüs fidye yazılımı, veritabanı sunucuları ve Microsoft Office uygulamalarıyla ilişkili otuz dokuz işlemi sonlandırmaya çalışacaktır.
Fidye yazılımı ayrıca aşağıdaki komutu kullanarak olay günlüklerini, gölge kopyalama hacimlerini siler ve veri yürütme önlemesini devre dışı bırakır:
Dosyaları şifrelerken, fidye yazılımı aşağıda gösterildiği gibi .Venus uzantısını ekler. Örneğin, test.jpg adlı bir dosya şifrelenir ve Test.jpg olarak yeniden adlandırılır. Venüs.
Her şifreli dosyada, fidye yazılımı dosyanın sonuna bir 'Goodgamer' filemarker ve diğer bilgileri ekleyecektir. Şu anda bu ek bilgilerin ne olduğu belirsizdir.
Fidye yazılımı, fidye yazılımı cihazın şifrelemesini bitirdiğinde otomatik olarak görüntülenecek % sıcaklık % klasöründe bir HTA fidye notu oluşturacaktır.
Aşağıda görebileceğiniz gibi, bu fidye yazılımı kendini "Venüs" olarak adlandırır ve fidye ödemesini müzakere etmek için saldırganla iletişim kurmak için kullanılabilecek bir Tox adresi ve e -posta adresi paylaşır. Fidye notunun sonunda, muhtemelen şifrelenmiş şifre çözme anahtarı olan baz64 kodlu bir blob bulunur.
Şu anda, Venüs fidye yazılımı oldukça aktiftir ve yeni gönderimler ID fidye yazılımına günlük olarak yüklenir.
Fidye yazılımları, standart olmayan TCP bağlantı noktalarında çalışanlar bile, kamuya açık olan uzak masaüstü hizmetlerini hedefliyor gibi göründüğü için, bu hizmetleri bir güvenlik duvarının arkasına koymak çok önemlidir.
İdeal olarak, hiçbir uzak masaüstü hizmeti internette kamuya açıklanmamalı ve yalnızca bir VPN aracılığıyla erişilebilir olmamalıdır
Magniber Ransomware artık JavaScript dosyaları aracılığıyla Windows kullanıcılarına bulaştı
Microsoft: İranlı bilgisayar korsanları Bitlocker'ı kullanarak Windows sistemlerini şifreledi
Kötü amaçlı yazılım geliştirme yeni blacklotus windows uefi bootkit sattığını iddia ediyor
Web atlamasının Windows Mark Sıfır Günlük Gayri Yaması Alır
Avustralyalı sigorta şirketi Medibank fidye yazılımı saldırısını onayladı
Kaynak: Bleeping Computer