R3tr0 Ransomware

Los ciberdelincuentes están utilizando una nueva variante perteneciente a la familia de ransomware Dharma para bloquear los datos de sus víctimas. La amenaza se rastrea como R3tr0 Ransomware pero también se puede encontrar como RETRO-ENCRIPTADO. El malware está equipado con una rutina de cifrado imposible de descifrar que puede afectar a todos los archivos importantes de la víctima: bases de datos, archivos, documentos, imágenes, etc.

Cada archivo encriptado también tendrá su nombre cambiado drásticamente. La amenaza primero agregará una cadena de identificación específica para la víctima en particular. Seguirá eso con una dirección de correo electrónico bajo el control de los atacantes: 'r3tr0crypt@tuta.io', en este caso. Finalmente, a los archivos bloqueados se les agregará '.r3tr0' como una nueva extensión de archivo. Como es típico para una amenaza basada en Dharma, R3tr0 Ransomware dejará caer dos notas de rescate en los dispositivos violados como archivos 'Info.hta' e 'info.txt'.

El archivo de texto contendrá una versión truncada de la nota de rescate y los usuarios simplemente serán dirigidos a contactar las dos direcciones de correo electrónico de los atacantes. El conjunto completo de instrucciones se encuentra dentro de la ventana emergente generada a partir del archivo .hta. Aquí, los actores de amenazas reiteraron nuevamente sus correos electrónicos en 'r3tr0crypt@tuta.io' y 'r3tr0crypt@msgsafe.io'. También advierten a sus víctimas que cambiar el nombre o intentar descifrar los datos con herramientas de terceros podría dañarlos permanentemente y hacer que los archivos sean irrecuperables.

El texto completo del mensaje de rescate es:

RETRO-ENCRIPTADO
r3tr0
¡No te preocupes, puedes devolver todos tus archivos!
Si desea restaurarlos, escriba al correo: r3tr0crypt@tuta.io SU ID -
Si no ha respondido por correo dentro de las 12 horas, escríbanos por otro correo: r3tr0crypt@msgsafe.io
¡ATENCIÓN!
Le recomendamos que se ponga en contacto con nosotros directamente para evitar pagar de más a los agentes.
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos con software de terceros, puede causar la pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede aumentar el precio (agregan su tarifa a la nuestra) o puede convertirse en víctima de una estafa.

Las instrucciones en el archivo de texto son:

todos sus datos nos han sido bloqueados
¿Quieres volver?
escribir correo electrónico r3tr0crypt@tuta.io o r3tr0crypt@msgsafe.io