BITCOINPAYMENTRansomware

Una variante de la familia de malware Phobos, el BITCOINPAYMENT Ransomware apunta a los datos de sus víctimas y los vuelve inutilizables a través de una fuerte rutina de cifrado. Los operadores de la amenaza luego intentarán extorsionar a los usuarios o empresas afectados por dinero. Cabe señalar que, aunque BITCOINPAYMENT Ransomware no muestra mejoras o modificaciones significativas en comparación con las otras variantes de Phobos , su potencial destructivo no debe subestimarse.

En general, BITCOINPAYMENT Ransomware sigue el comportamiento establecido de Phobos. Modifica los nombres de los archivos cifrados al agregarles una cadena de identificación, una dirección de correo electrónico y una nueva extensión. La cadena de identificación se genera para cada víctima, mientras que la dirección de correo electrónico y la extensión son 'cleverhorse@protonmail.com' y '.BITCOINPAYMENT'. Cuando la amenaza haya bloqueado todos los datos objetivo, BITCOINPAYMENT Ransomware procederá a colocar dos archivos en el dispositivo violado, llamados 'info.hta' e 'info.txt'.

El archivo de texto contiene instrucciones sobre cómo las víctimas afectadas pueden comunicarse con la cuenta de Jabber del atacante para recibir más detalles. También menciona que se pueden enviar hasta 3 archivos cifrados con un tamaño total de menos de 10 MB para ser descifrados de forma gratuita. Sin embargo, la nota de rescate completa se muestra en una ventana emergente generada a partir del archivo hta. Aquí, los ciberdelincuentes aclaran que solo se aceptarán pagos realizados con la criptomoneda Bitcoin. En cuanto al monto del rescate exigido, aparentemente se basará en el tiempo que les lleve a las víctimas establecer contacto.

El texto completo del mensaje que se muestra como una ventana emergente es:

¡ Todos sus archivos han sido encriptados!

Todos sus archivos han sido encriptados debido a un problema de seguridad con su PC. Si desea restaurarlos, escríbanos al correo electrónico proudhorse@protonmail.com
Escribe este ID en el título de tu mensaje -
Si no hay respuesta de nuestro correo, puede instalar el cliente de Jabber y escribirnos en soporte a proudhorse@xmpp.jp
Tienes que pagar por el descifrado en Bitcoins. El precio depende de lo rápido que nos escribas. Después del pago, le enviaremos la herramienta que descifrará todos sus archivos.

Descifrado gratuito como garantía
Antes de pagar, puede enviarnos hasta 1-3 archivos para descifrarlos de forma gratuita. El tamaño total de los archivos debe ser inferior a 10 Mb (no archivados) y los archivos no deben contener información valiosa. (bases de datos, copias de seguridad, hojas de Excel grandes, etc.)

Cómo obtener Bitcoins
La forma más fácil de comprar bitcoins es el sitio LocalBitcoins. Debe registrarse, hacer clic en 'Comprar bitcoins' y seleccionar el vendedor por método de pago y precio.
hxxps://localbitcoins.com/buy_bitcoins
También puede encontrar otros lugares para comprar Bitcoins y una guía para principiantes aquí:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Instrucciones de instalación del cliente Jabber:
Descargue el cliente jabber (Pidgin) desde hxxps://pidgin.im/download/windows/
Después de la instalación, el cliente de Pidgin le pedirá que cree una nueva cuenta.
Haga clic en "Agregar"
En el campo "Protocolo", seleccione XMPP
En "Nombre de usuario": invente cualquier nombre
En el campo "dominio": ingrese cualquier servidor jabber, hay muchos, por ejemplo, exploit.im
Crear una contraseña
En la parte inferior, marque "Crear cuenta"
Haga clic en agregar
Si seleccionó "dominio" - exploit.im, entonces debería aparecer una nueva ventana en la que deberá volver a ingresar sus datos:
Usuario
clave
Deberá seguir el enlace al captcha (allí verá los caracteres que debe ingresar en el campo a continuación)
Si no comprende las instrucciones de instalación de nuestro cliente Pidgin, puede encontrar muchos tutoriales de instalación en youtube: hxxps://www.youtube.com/results?search_query=pidgin+jabber+install

¡Atención!
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos con software de terceros, puede causar la pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede aumentar el precio (agregan su tarifa a la nuestra) o puede convertirse en víctima de una estafa.

El archivo de texto contiene las siguientes instrucciones:

¿Quiere devolver sus archivos? Escriba a nuestra cuenta xmpp - inteligentehorse@xmpp.jp
La forma más fácil: regístrese aquí hxxps://www.xmpp.jp/signup
Después de descargar el cliente pidgin hxxps://pidgin.im/
Presione Agregar cuenta, elija el protocolo xmpp y coloque el nombre de usuario de xmpp.jp donde se registra
Dominio - xmpp.jp
Pon tu contraseña y presiona agregar
Cuando inicie sesión, presione Buddies --> Add Buddy--> y en el nombre de usuario de Buddy, ingrese el código inteligente xmpp.jp.
Después de que veas la cuenta agregada brighthorse@xmpp.jp, haz clic dos veces en ella y escribe tu mensaje.
Puede enviarnos 1-3 archivos de prueba. El tamaño total de los archivos debe ser inferior a 10 Mb (no archivados),
los descifraremos y le enviaremos que somos reales
Si tienes un problema con xmpp puedes escribirnos a nuestro correo electrónico proudhorse@protonmail.com .'