Лаборатории FortiGuard Labs недавно столкнулись с новым вариантом ransomware под названием UNIZA. Как и другие варианты ransomware, он шифрует файлы на машинах жертв в попытке вымогательства денег. Он использует окно Command Prompt (cmd.exe) для отображения сообщения о выкупе. Интересно, что он не добавляет имя файла, который он шифрует, что усложняет определение того, какие файлы были затронуты.
UNIZA Ransomware
Информация о векторе заражения, используемом агентом угрозы UNIZA ransomware, в настоящее время отсутствует, однако вероятным вектором атаки является электронная почта, поскольку многие варианты ransomware распространяются именно таким образом.
На момент проведения данного исследования нет никаких признаков того, что UNIZA ransomware широко распространена.
UNIZA ransomware - типичная программа-вымогатель, которая шифрует файлы на зараженных машинах и требует выкуп за восстановление пострадавших файлов.
Программа нацелена на все каталоги и файлы, находящиеся в %userprofile% и Desktop для шифрования файлов.
Хотя программа-вымогатель не добавляет расширения к зашифрованным файлам, они действительно зашифрованы.
Вместо того чтобы бросить записку с выкупом, она запускает Командную строку, и записка с выкупом постепенно появляется, как будто злоумышленник удаленно набирает сообщение. Это может быть тактикой запугивания, чтобы заставить жертв поверить, что злоумышленник может удаленно контролировать их машину.
Сообщение о выкупе просит жертв связаться со злоумышленником через TikTok и требует 20 евро в биткоинах. Поскольку сумма выкупа относительно невелика, мы считаем, что угроза UNIZA ransomware нацелена на потребителей.
На момент нашего исследования на биткоин-кошельке злоумышленника не было зарегистрировано ни одной транзакции, что означает, что ни одна жертва еще не стала жертвой этой программы-вымогателя.
Indicators of Compromise
SHA256
- 9092ef0beeef1b147c13da3f3259f4a075f3bfb2414c39f9108395435ac9887c
- d9a3f2ad7cfc6989cc4da117d5a4f8097362aad6b91391e89746d68d8d7aa29f
- eefa1271d1a2a937d0baa3f0c7d904941151d6c8f915aed4dd51f10fa5d09b2a