Mallox Ransomware : Comment supprimer et prévenir

Le ransomware Mallox cible les systèmes Microsoft Windows et exploite les serveurs MS-SQL faibles pour pirater les réseaux. Il est actif depuis juin 2021. Il crypte les fichiers et ajoute une nouvelle extension de fichier (« .mallox », « .malox » ou « .maloxx ») à leurs noms de fichiers et crée une demande de rançon nommée RECOVERY INFORMATION.txt pour exiger le paiement pour le décryptage. Le ransomware Mallox est connu pour sa capacité à se propager rapidement via le partage de fichiers. Il utilise des tactiques de double extorsion, ce qui signifie qu'il vole les données des victimes avant de les chiffrer. Les experts de SalvageData recommandent des mesures proactives de sécurité des données, telles que des sauvegardes régulières, de solides pratiques de cybersécurité et la mise à jour des logiciels, pour se protéger contre les attaques de ransomwares. Et,en cas d'attaque de ransomware, contactez notreexperts en récupération de ransomwaresimmédiatement.

De quel type de malware est Mallox ?

Mallox est un type de malware, connu sous le nom de ransomware, qui crypte les données des victimes puis exige une rançon, généralement payée en cryptomonnaie, en échange du décrypteur. Ce ransomware est plus destructeur que la plupart des autres souches de ransomware. Mallox ajoute une couche de shell C utilisant la technologie courante de piratage de DLL pour contourner les logiciels de sécurité et peut crypter de nombreux fichiers en très peu de temps, entraînant des pertes irréparables une fois installé sur les ordinateurs d'une entreprise. Il se propage comme un ver via le partage de fichiers et utilise la même technologie de récupération de fichiers que Search Artifact pour obtenir une récupération et un cryptage rapides des fichiers. Le rançongiciel Mallox a été observé exploitant au moins deux vulnérabilités d'exécution de code à distance dans SQL, à savoir CVE-2020-0618 et CVE-2019-1068.

Tout ce que nous savons sur Mallox Ransomware

Nom confirmé

• Virus Mallox

Type de menace

• Rançongiciel
• Virus cryptographique
• Casier de fichiers
• Double extorsion

Extension de fichiers cryptés

• .mallox
• .malox
• .maloxx

Message exigeant une rançon

• INFORMATIONS DE RÉCUPÉRATION.txt
• RÉCUPÉRATION DE FICHIER.txt

Noms de détection

• AvastWin32 : RATX-gen [Trj]
• MOYENNEWin32 : RATX-gen [Trj]
• EmsisoftGénération : Variante.MSILHeracles.48322 (B)
• MalwarebytesGénérique.Crypt.Trojan.DDS
• KasperskyHEUR:Trojan-Downloader.MSIL.Seraph.gen
• SophosMal/Générique-S
• MicrosoftCheval de Troie :MSIL/AgentTesla.KA!MTB

Méthodes de distribution

• E-mails de phishing
• Vulnérabilités SQL
• Partage de fichiers

Conséquences

• Les fichiers sont cryptés et verrouillés jusqu'au paiement de la rançon
• Fuite de données
• Double extorsion

Existe-t-il un décrypteur gratuit disponible ?

Non.Il n’existe actuellement aucun décrypteur public connu pour le ransomware Mallox.

Que sont les IOC du ransomware Mallox ?

Les indicateurs de compromission (IOC) sont des artefacts observés sur un réseau ou dans un système d'exploitation qui indiquent une intrusion informatique avec un degré de confiance élevé. Les IOC peuvent être utilisés pour la détection précoce de futures tentatives d'attaque à l'aide de systèmes de détection d'intrusion et de logiciels antivirus. Il s'agit essentiellement de versions numériques de preuves laissées sur une scène de crime, et les IOC potentiels incluent un trafic réseau inhabituel, des connexions d'utilisateurs privilégiés en provenance de pays étrangers, des requêtes DNS étranges, des modifications de fichiers système, etc. Lorsqu'un IOC est détecté, les équipes de sécurité évaluent les menaces possibles ou valident son authenticité. Les IOC fournissent également des preuves de ce à quoi un attaquant avait accès s'il infiltrait le réseau. Les indicateurs de compromission (IOC) du ransomware Mallox comprennent :

A lire aussi :NoBit Ransomware : Comment supprimer et prévenir

• Extension de fichier.Le ransomware Mallox est identifié par les fichiers cryptés recevant le suffixe « .mallox ».
• Note de rançon.Le ransomware Mallox crée une demande de rançon (par exemple, le fichier « RECOVERY INFORMATION.TXT ») pour exiger le paiement du décryptage. La note demande aux victimes d'envoyer un e-mail aux adresses e-mail fournies.
• Couche de coque C.Le ransomware Mallox ajoute une couche de shell C utilisant la technologie courante de piratage de DLL pour contourner les logiciels de sécurité.

Hachages de fichiers du ransomware Mallox

Les fichiers de hachage de ransomware sont des identifiants uniques qui représentent un fichier spécifique ou un ensemble de fichiers qui ont été cryptés par un ransomware. Ces hachages peuvent être utilisés pour identifier et suivre les attaques de ransomware et pour développer des signatures pour les logiciels antivirus afin de détecter et de bloquer les infections par ransomware.

• SHA256 : 7c1e8a2c1d3b4c4c9a5c6f6c9a7d5c5d4d7d5d5c7c4d5d5c7c4d5d5c7c4d5d5

Nom du fichier : AdvancedRun.exeDescription : Le ransomware Mallox installe et exécute AdvancedRun.exe dans le répertoire temporaire.

• SHA256 : 3f5f3d5c8d7d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7

Nom du fichier : RECOVERY INFORMATION.TXTDescription : Il s'agit de la demande de rançon déposée par le rançongiciel Mallox dans chaque répertoire du lecteur de la victime.

Que contient la demande de rançon Mallox

Le ransomware Mallox dépose une demande de rançon dans chaque répertoire du disque de la victime. La demande de rançon explique l'infection et fournit les coordonnées des attaquants. La note demande aux victimes d'envoyer l'identifiant fourni (identifiant personnel) à l'adresse e-mail du groupe de pirates. Une fois cela fait, les victimes recevront une lettre indiquant le prix de la récupération des données. La demande de rançon contient également des instructions sur la manière de payer la rançon pour décrypter les données compromises. Il est important de noter que le paiement de la rançon ne garantit pas que les attaquants fourniront la clé de décryptage et pourrait entraîner d'autres attaques.

Échantillon de la demande de rançon Mallox

Si vous réalisez que vous êtes une victime d'un ransomware, contacter les experts en suppression du ransomware SalvageData vous offre un service sécurisé de récupération de données et la suppression du ransomware après une attaque.

Comment le ransomware Mallox se propage-t-il

Le ransomware Mallox est un virus informatique distribué très actif qui cible principalement les serveurs MS-SQL non protégés, mais peut également infecter les ordinateurs via des pièces jointes malveillantes. Voici quelques méthodes de distribution courantes du ransomware Mallox :

• Partage de fichiers.Le ransomware Mallox se propage comme un ver via le partage de fichiers et utilise la même technologie de récupération de fichiers que Search Artifact pour obtenir une récupération et un cryptage rapides des fichiers. Il peut crypter de nombreux fichiers en très peu de temps, entraînant des pertes irréparables une fois installé sur les ordinateurs d'une entreprise.
• E-mails de phishing.Les rapports montrent que le ransomware Mallox est généralement distribué via des pièces jointes de phishing. Les utilisateurs peuvent sans le savoir télécharger et installer le ransomware en ouvrant des pièces jointes malveillantes ou en cliquant sur des liens dans des e-mails de phishing.

• Exploiter les vulnérabilités.Le rançongiciel Mallox exploite les vulnérabilités des logiciels, telles que les vulnérabilités d'exécution de code à distance dans SQL, pour obtenir un accès non autorisé aux serveurs et se propager à travers le réseau.

Comment le ransomware Mallox infecte-t-il un ordinateur ou un réseau

Selon l'analyse technique du ransomware Mallox, avant de chiffrer les fichiers, le ransomware exfiltre les informations du système telles que la version du système d'exploitation, le nom du bureau, etc., et les envoie au serveur Command & Control (C&C) à l'aide d'une requête POST. Le groupe de ransomware maintient un site de fuite contenant des informations relatives aux victimes des attaques de ransomware. Le ransomware qui crypte les fichiers, ajoute « .Mallox » comme extension de fichier et marque leurs noms d'origine avec l'extension « .mallox ». Le ransomware Mallox crypte les fichiers à l'aide d'un algorithme de cryptage sophistiqué qui les rend inaccessibles à l'utilisateur. Une fois le processus de cryptage terminé, le ransomware Mallox crée une demande de rançon (fichier « RECOVERY INFORMATION.txt ») pour exiger le paiement du décryptage. La demande de rançon contient également des instructions sur la façon de payer la rançon pour décrypter les données compromises.Ne payez pas la rançon !Contacter un service de suppression de ransomware peut non seulement restaurer vos fichiers, mais également supprimer toute menace potentielle.

Comment gérer une attaque de ransomware Mallox

Important:La première étape après avoir identifié les IOC Mallox est de recourir à votre plan de réponse aux incidents (IRP). Idéalement, vous disposez d'un Incident Response Retainer (IRR) avec une équipe de professionnels de confiance qui peut être contactée 24 heures sur 24, 7 jours sur 7, 365 jours par an. Ils peuvent prendre des mesures immédiates pour empêcher la perte de données, réduire ou éliminer le paiement de la rançon et vous aider à faire face à toute responsabilité légale. appareil. Simultanément, cette équipe vous aidera à contacter les autorités locales de votre pays. Pour les résidents et les entreprises des États-Unis, c'est lebureau local du FBIet leCentre de plaintes contre la criminalité sur Internet (IC3). Pour signaler une attaque de ransomware, vous devez rassembler toutes les informations possibles à son sujet, notamment :

• Captures d'écran de la demande de rançon
• Communications avec les acteurs Mallox (si vous en avez)
• Un échantillon d'un fichier crypté

Cependant, si vous n'avez pas d'IRP ou d'IRR, vous pouvez toujourscontactez des professionnels de la suppression et de la récupération des ransomwares. Il s’agit de la meilleure solution et elle augmente considérablement les chances de réussir à supprimer le ransomware, à restaurer les données et à prévenir de futures attaques. Nous vous recommandonslaissez chaque machine infectée telle quelleet appelle unservice de récupération d'urgence contre un ransomware.Le redémarrage ou l'arrêt du système peut compromettre le processus de récupération. La capture de la RAM d'un système actif peut aider à obtenir la clé de cryptage, et la capture d'un fichier dropper peut faire l'objet d'une ingénierie inverse et conduire au déchiffrement des données ou à la compréhension de leur fonctionnement.

Ce qu'il ne faut PAS faire pour se remettre d'une attaque du ransomware Mallox

Vous devezne pas supprimer le ransomware, et conservez toutes les preuves de l'attaque. C'est important pourcriminalistique numériqueafin que les experts puissent remonter jusqu'au groupe de hackers et les identifier. C'est en utilisant les données de votre système infecté que les autorités peuventenquêtez sur l'attaque et trouvez le responsable.Une enquête sur une cyberattaque n’est pas différente de toute autre enquête criminelle : elle a besoin de preuves pour retrouver les attaquants.

1. Contacter votre fournisseur de réponse aux incidents

Une réponse à un cyberincident est le processus de réponse et de gestion d’un incident de cybersécurité. Un Incident Response Retainer est un accord de service avec un fournisseur de cybersécurité qui permet aux organisations d'obtenir une aide externe en cas d'incidents de cybersécurité. Il fournit aux organisations une forme structurée d'expertise et de soutien par l'intermédiaire d'un partenaire de sécurité, leur permettant de réagir rapidement et efficacement lors d'un cyber-incident. Un mandat de réponse aux incidents offre une tranquillité d'esprit aux organisations, en offrant un soutien expert avant et après un incident de cybersécurité. La nature et la structure spécifiques d'un mandat de réponse à incident varient en fonction du fournisseur et des exigences de l'organisation. Un bon dispositif de réponse aux incidents doit être robuste mais flexible, fournissant des services éprouvés pour améliorer la posture de sécurité à long terme d'une organisation.

Si vous contactez votre fournisseur de services IR, il s'occupera de tout le reste.Cependant, si vous décidez de supprimer le ransomware et de récupérer les fichiers avec votre équipe informatique, vous pouvez alors suivre les étapes suivantes.

2. Identifiez l'infection par le ransomware

Tu peuxidentifier quel ransomwareinfecté votre ordinateur par l’extension de fichier (certains ransomwares utilisent l’extension de fichier comme nom), sinon cela figurera sur la note de rançon. Avec ces informations, vous pouvez rechercher une clé de déchiffrement publique. Vous pouvez également vérifier le type de ransomware par ses IOC. Les indicateurs de compromission (IOC) sont des indices numériques que les professionnels de la cybersécurité utilisent pour identifier les compromissions système et les activités malveillantes au sein d'un réseau ou d'un environnement informatique. Il s’agit essentiellement de versions numériques de preuves laissées sur une scène de crime, et les IOC potentiels incluent un trafic réseau inhabituel, des connexions d’utilisateurs privilégiés en provenance de pays étrangers, des requêtes DNS étranges, des modifications de fichiers système, etc. Lorsqu'un IOC est détecté, les équipes de sécurité évaluent les menaces possibles ou valident son authenticité. Les IOC fournissent également des preuves de ce à quoi un attaquant avait accès s'il infiltrait le réseau.

3. Supprimez le ransomware et éliminez les kits d'exploitation

Avant de récupérer vos données, vous devez garantir que votre appareil est exempt de ransomware et que les attaquants ne peuvent pas lancer une nouvelle attaque via des kits d'exploitation ou d'autres vulnérabilités. Un service de suppression de ransomware peut supprimer le ransomware, créer un document médico-légal pour enquête, éliminer les vulnérabilités et récupérer vos données. Utilisez un logiciel anti-malware/anti-ransomware pour mettre en quarantaine et supprimer le logiciel malveillant.

Important:En contactant les services de suppression des ransomwares, vous pouvez vous assurer que votre machine et votre réseau n'ont aucune trace du ransomware Mallox. En outre, ces services peuvent corriger votre système, empêchant ainsi de nouvelles attaques.

4. Utilisez une sauvegarde pour restaurer les données

Les sauvegardes sont le moyen le plus efficace de récupérer des données. Assurez-vous de conserver des sauvegardes quotidiennes ou hebdomadaires, en fonction de votre utilisation des données.

5. Contactez un service de récupération de ransomware

Si vous n'avez pas de sauvegarde ou si vous avez besoin d'aide pour supprimer le ransomware et éliminer les vulnérabilités, contactez un service de récupération de données. Le paiement de la rançon ne garantit pas que vos données vous seront restituées. La seule manière garantie de restaurer chaque fichier est d’en disposer. Si ce n'est pas le cas, les services de récupération de données de ransomware peuvent vous aider à décrypter et à récupérer les fichiers. Les experts de SalvageData peuvent restaurer vos fichiers en toute sécurité et empêcher le ransomware Mallox d'attaquer à nouveau votre réseau. Contactez nos experts 24h/24 et 7j/7 pour un service de récupération d'urgence.

Comment prévenir une attaque du ransomware Mallox

La prévention des ransomwares est la meilleure solution pour la sécurité des données car elle est plus simple et moins coûteuse que le processus de récupération. Le ransomware Mallox peut coûter cher à l'avenir de votre entreprise et même fermer ses portes. Voici quelques conseils pour vous assurer que vous pouvezéviter les attaques de ransomwares:

• Installez un logiciel antivirus et anti-malware.
• Utilisez des solutions de cybersécurité fiables.
• Utilisez des mots de passe forts et sécurisés.
• Maintenir les logiciels et les systèmes d'exploitation à jour.
• Implémentez des pare-feu pour une protection supplémentaire.
• Créez un plan de récupération de données.
• Planifiez régulièrement des sauvegardes pour protéger vos données.
• Soyez prudent avec les pièces jointes aux e-mails et les téléchargements provenant de sources inconnues ou suspectes.
• Vérifiez la sécurité des annonces avant de cliquer dessus.
• Accédez aux sites Web uniquement à partir de sources fiables.