Ebaka Ransomware

Studiuesit e sigurisë kanë identifikuar Ebaka si një kërcënim ransomware, i krijuar me qëllim të qartë për të enkriptuar skedarët në pajisjet e komprometuara dhe më pas duke kërkuar pagesa shpërblimi për deshifrimin e tyre. Pasi të aktivizohet malware Ebaka, ai fillon një proces të mbylljes së skedarëve përmes enkriptimit, duke ndryshuar emrat e skedarëve në proces. Emrat origjinal janë zgjeruar me një ID unike të viktimës, adresën e emailit të kriminelëve kibernetikë dhe një shtesë '.ebaka'. Për shembull, një skedar i quajtur fillimisht '1.png' do t'i nënshtrohet enkriptimit dhe do të shfaqet si '1.png.id[1E858D00-3423].[datadownloader@proton.me].ebaka.'

Pas përfundimit të procesit të kriptimit, Ebaka gjeneron shënime shpërblyese që depozitohen në desktop dhe brenda të gjitha drejtorive që përmbajnë të dhëna të kyçura. Një nga shënimet e shpërblimit paraqitet në një dritare kërcyese ('info.hta'), ndërsa një tjetër merr formën e një skedari teksti ('info.txt'). Veçanërisht, analiza kërkimore ka lidhur Ebaka Ransomware me familjen e mirënjohur Phobos Ransomware .

Ransomware Ebaka mund të shkaktojë dëme të jashtëzakonshme pas një infeksioni të suksesshëm

Programet kërcënuese të lidhura me familjen Phobos Ransomware, të tilla si Ebaka Ransomware, shfaqin aftësi të avancuara të enkriptimit, duke enkriptuar si skedarët lokalë ashtu edhe ato të përbashkëta në rrjet. Këto programe marrin një qasje të sofistikuar duke përfunduar proceset që lidhen me skedarët e hapur për të parandaluar që ato të konsiderohen "në përdorim" dhe më pas të përjashtohen nga procesi i enkriptimit. Kjo strategji e përpiktë siguron një ndikim më gjithëpërfshirës në të dhënat e synuara.

Vlen të përmendet se operacionet e Ebaka Ransomware përmbahen nga komprometimi i skedarëve kritikë të sistemit, duke minimizuar rrezikun e paqëndrueshmërisë së sistemit. Për më tepër, është bërë një përpjekje e qëllimshme për të shmangur kriptimin e dyfishtë, duke kursyer të dhënat e prekura tashmë nga variante të tjera ransomware. Ky proces i përmbahet një liste të paracaktuar, megjithëse nuk përfshin të gjitha programet ekzistuese të enkriptimit të të dhënave.

Në një përpjekje për të penguar rikuperimin, Ebaka Ransomware fshin Kopjet e Vëllimit të Shadow, duke eliminuar një metodë të mundshme të rivendosjes së skedarëve të koduar. Malware përdor teknika të ndryshme për sigurimin e qëndrueshmërisë, duke përfshirë vetë-përsëritjen në shtegun %LOCALAPPDATA% dhe regjistrimin me çelësa specifikë Run, duke siguruar fillimin automatik pas rindezjes së sistemit.

Për më tepër, sulmet Ebaka mund të shfaqin karakteristika gjeo-bllokuese. Këto programe mbledhin të dhëna për gjeolokacionin dhe mund të ndërpresin infeksionin bazuar në faktorë të tillë si kushtet ekonomike në rajone të caktuara (potencialisht shtëpia e viktimave të paaftë për të paguar shpërblimet), konsiderata gjeopolitike ose kritere të tjera.

Duke u mbështetur nga përvoja e gjerë në hulumtimin e infeksioneve të ransomware, bëhet e qartë se deshifrimi pa përfshirjen e drejtpërdrejtë të sulmuesve është një dukuri e rrallë. Përjashtimet janë të kufizuara në rastet që përfshijnë programe të tipit ransomware me të meta serioze, duke theksuar sfidat e përgjithshme dhe kompleksitetin që lidhen me rikuperimin e të dhënave nga kërcënime të tilla të sofistikuara kibernetike.

Ransomware Ebaka zhvat viktimat për para

Përmbajtja e shënimit të shpërblimit të Ebakës, e paraqitur në një skedar teksti, u komunikon në mënyrë eksplicite viktimave se dosjet e tyre janë të koduara. Mesazhi inkurajon fuqishëm viktimat që të fillojnë kontaktin me sulmuesit për të lehtësuar procesin e deshifrimit. Për më tepër, shënimi i shpërblimit të shfaqur në një dritare kërcyese ofron detaje të mëtejshme rreth infeksionit, duke specifikuar se deshifrimi varet nga pagesa e një shpërblimi në kriptomonedhën Bitcoin. Veçanërisht, shuma e shpërblimit supozohet se ndikohet nga mënyra se si viktima vendos menjëherë komunikimin me kriminelët kibernetikë.

Është interesante se para se të përmbushin kërkesat për shpërblim, viktimave thuhet se u është dhënë opsioni për të testuar procesin e deshifrimit. Ata mund të paraqesin deri në pesë skedarë të koduar për testim, duke iu nënshtruar disa kufizimeve. Kjo dispozitë e veçantë duket se ofron një paraqitje të shkurtër të procesit të deshifrimit, ndoshta si një taktikë për të rrënjosur një ndjenjë besimi ose urgjence te viktima.

Kriminelët kibernetikë paralajmërojnë viktimat kundër çdo përpjekjeje për të modifikuar skedarët e kyçur ose për të përdorur mjete deshifrimi të palëve të treta, duke theksuar rrezikun e humbjes së përhershme të të dhënave. Për më tepër, viktimat paralajmërohen për pasojat e mundshme financiare të kërkimit të ndihmës nga palët e treta, duke sugjeruar se veprime të tilla mund të rrisin humbjen e përgjithshme financiare të shkaktuar gjatë procesit të zgjidhjes. Ky grup i detajuar udhëzimesh dhe paralajmërimesh nënvizon natyrën e llogaritur të kërkesës për shpërblim. Ai synon t'i drejtojë viktimat gjatë procesit duke i larguar ato nga ndërmarrja e çfarëdo veprimi që mund të rrezikojë potencialin për deshifrim të suksesshëm.

Viktimave të Ebaka Ransomware u paraqiten kërkesat e mëposhtme për shpërblim:

'All your files have been encrypted!

All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail datadownloader@proton.me
Write this ID in the title of your message -
In case of no answer in 24 hours write us to this e-mail:datadownloader@tutanota.com
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.

Free decryption as guarantee
Before paying you can send us up to 5 files for free decryption. The total size of files must be less than 4Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

The text files generated by Ebaka Ransomware contain the following message:

!!!All of your files are encrypted!!!
To decrypt them send e-mail to this address: datadownloader@proton.me.
If we don't answer in 24h., send e-mail to this address: datadownloader@tutanota.com'