Phobos | Уровень угрозы: high | Тип: Ransomware

Криптографические идентификаторы

SHA256c0539fd02ca0184925a932a9e926c681dc9c81b5de4624250f2dd885ca5c4763
MD5ecdf7acb35e4268bcafb03b8af12f659
Тип файлаexe
Размер686.5 KB
Первое обнаружение2023-10-06
Имя файлаSecuriteInfo.com.Win32.PWSX-gen.218.3876
Меткиexe, Phobos

Семейство вредоносного ПО: Phobos

Phobos, RDP açıkları kullanan ransomware'dir.

ТипRansomware
Язык программированияC++
Целевая платформаWindows
Протокол C2—
НазначениеRDP tabanlı ransomware
Год первого обнаружения2019
Другие названияEking

Индикаторы компрометации (IOC)

  • SHA256: c0539fd02ca0184925a932a9e926c681dc9c81b5de4624250f2dd885ca5c4763
  • MD5: ecdf7acb35e4268bcafb03b8af12f659

Руководство по очистке системы

  1. Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
  2. Не платите выкуп — восстановление файлов не гарантировано
  3. Поместите затронутые диски в карантин
  4. Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
  5. Попробуйте доступные дешифраторы (проект NoMoreRansom)
  6. Yetkililere ihbarda bulunun
  7. Temiz bir yedekten kurtarın

Подсказки для YARA-правил

rule Phobos_SHA256 {
    meta:
        description = "Phobos sample: c0539fd02ca01849"
        threat_level = "high"
        first_seen = "2023-10-06"
    condition:
        hash.sha256(0, filesize) == "c0539fd02ca0184925a932a9e926c681dc9c81b5de4624250f2dd885ca5c4763"
}

Phobos — Профиль вредоносного ПО

Phobos, 2019 dan beri aktif Dharma kaynakli ransomware ailesidir. AES-256 + RSA-1024 hibrit sifreleme, email bazli fidye iletisimi. RDP brute force ile yayilir. C2 yok.

Тип вредоносного ПО
Ransomware
Язык программирования
C++
C2 Протокол
—
Целевые системы
Windows
Другие названия (AKA)
Eking

Технические детали

Phobos ransomware emerged in December 2018 as a derivative of Dharma/CrySis ransomware. Encrypts files using AES-256 with RSA-1024 key exchange. Files are renamed with victim ID, attacker email address, and .phobos extension. Distributed primarily through RDP brute force attacks. Deletes volume shadow copies via vssadmin, disables Windows recovery, and terminates backup processes. Adds persistence via HKCU\Software\Microsoft\Windows\CurrentVersion\Run registry key and Startup folder. Contact is exclusively via email embedded in ransom note (no web portal). Variant of Dharma that emerged after its source code leaked on underground forums.

Атрибуция / Актор угрозы

WIZARD SPIDER (related lineage), Dharma/CrySis family

Возможности и поведение

Dosya Şifreleme (AES/RSA)
Gölge Kopya Silme
Yedek Kaldırma
Fidye Notu Oluşturma
Kalıcılık Sağlama
Ağ Paylaşımı Şifreleme
Anti-Analiz Teknikleri
Çift Gasp (Data Leak)

Список IOC (2 индикаторов)

IOC — Phobos
# SHA256 c0539fd02ca0184925a932a9e926c681dc9c81b5de4624250f2dd885ca5c4763 # MD5 ecdf7acb35e4268bcafb03b8af12f659
ТипЗначениеПримечание
sha256 c0539fd02ca0184925a932a9e926c681dc9c81b5de4624250f2dd885ca5c4763
md5 ecdf7acb35e4268bcafb03b8af12f659
Phobos — Полный профиль →
Теги
phobosransomwaremalwarehighsha256analizzenginleştirilmiş