Phobos | Уровень угрозы: high | Тип: Ransomware

Криптографические идентификаторы

SHA25671b46e95fba31267475537a338f49ce1cd0bc56c0f15346b05b673051cbe90a8
MD58f7bc58c754d6fb7bb0b31fe8a5821e3
Тип файлаexe
Размер57.0 KB
Первое обнаружение2023-03-08
Имя файлаWindowsUpdate.bin
МеткиPhobos

Семейство вредоносного ПО: Phobos

Phobos, RDP açıkları kullanan ransomware'dir.

ТипRansomware
Язык программированияC++
Целевая платформаWindows
Протокол C2—
НазначениеRDP tabanlı ransomware
Год первого обнаружения2019
Другие названияEking

Индикаторы компрометации (IOC)

  • SHA256: 71b46e95fba31267475537a338f49ce1cd0bc56c0f15346b05b673051cbe90a8
  • MD5: 8f7bc58c754d6fb7bb0b31fe8a5821e3

Руководство по очистке системы

  1. Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
  2. Не платите выкуп — восстановление файлов не гарантировано
  3. Поместите затронутые диски в карантин
  4. Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
  5. Попробуйте доступные дешифраторы (проект NoMoreRansom)
  6. Yetkililere ihbarda bulunun
  7. Temiz bir yedekten kurtarın

Подсказки для YARA-правил

rule Phobos_SHA256 {
    meta:
        description = "Phobos sample: 71b46e95fba31267"
        threat_level = "high"
        first_seen = "2023-03-08"
    condition:
        hash.sha256(0, filesize) == "71b46e95fba31267475537a338f49ce1cd0bc56c0f15346b05b673051cbe90a8"
}

Phobos — Профиль вредоносного ПО

Phobos, 2019 dan beri aktif Dharma kaynakli ransomware ailesidir. AES-256 + RSA-1024 hibrit sifreleme, email bazli fidye iletisimi. RDP brute force ile yayilir. C2 yok.

Тип вредоносного ПО
Ransomware
Язык программирования
C++
C2 Протокол
—
Целевые системы
Windows
Другие названия (AKA)
Eking

Технические детали

Phobos ransomware emerged in December 2018 as a derivative of Dharma/CrySis ransomware. Encrypts files using AES-256 with RSA-1024 key exchange. Files are renamed with victim ID, attacker email address, and .phobos extension. Distributed primarily through RDP brute force attacks. Deletes volume shadow copies via vssadmin, disables Windows recovery, and terminates backup processes. Adds persistence via HKCU\Software\Microsoft\Windows\CurrentVersion\Run registry key and Startup folder. Contact is exclusively via email embedded in ransom note (no web portal). Variant of Dharma that emerged after its source code leaked on underground forums.

Атрибуция / Актор угрозы

WIZARD SPIDER (related lineage), Dharma/CrySis family

Возможности и поведение

Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)

Список IOC (2 индикаторов)

IOC — Phobos
# SHA256 71b46e95fba31267475537a338f49ce1cd0bc56c0f15346b05b673051cbe90a8 # MD5 8f7bc58c754d6fb7bb0b31fe8a5821e3
ТипЗначениеПримечание
sha256 71b46e95fba31267475537a338f49ce1cd0bc56c0f15346b05b673051cbe90a8
md5 8f7bc58c754d6fb7bb0b31fe8a5821e3
Phobos — Полный профиль →
Теги
phobosransomwaremalwarehighsha256analizzenginleştirilmiş