Phobos — 62b096449d5dc6f876c43e48d1c27a63de0f75e7 [62b09644]

Phobos | Nível de ameaça: high | Tipo: Ransomware

Identificadores criptográficos

SHA256	`62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b`
MD5	`9d698f5fb023c21b0629273b0ef42594`
Tipo de arquivo	exe
Tamanho	56.0 KB
Primeira detecção	2022-12-19
Nome do arquivo	62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b
Tags	exe, Phobos, Ransomware

Família de malware: Phobos

Phobos, RDP açıkları kullanan ransomware'dir.

Tipo	Ransomware
Linguagem de programação	C++
Plataforma alvo	Windows
Protocolo C2	—
Finalidade	RDP tabanlı ransomware
Ano da primeira detecção	2019
Outros nomes	Eking

Indicadores de ameaça (IOC)

SHA256: 62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b
MD5: 9d698f5fb023c21b0629273b0ef42594

Guia de limpeza do sistema

Sistemi ağdan DERHAL ayırın — diğer cihazlara yayılmayı durdurun
Não pague o resgate — não há garantia de recuperar os arquivos
Coloque as unidades afetadas em quarentena
Kullanılan fidye yazılımı ailesini belirleyin (nomoreransom.org)
Experimente as ferramentas de descriptografia disponíveis (projeto NoMoreRansom)
Yetkililere ihbarda bulunun
Temiz bir yedekten kurtarın

Dicas de regras YARA

rule Phobos_SHA256 {
    meta:
        description = "Phobos sample: 62b096449d5dc6f8"
        threat_level = "high"
        first_seen = "2022-12-19"
    condition:
        hash.sha256(0, filesize) == "62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b"
}

Phobos — Perfil do malware

Phobos, 2019 dan beri aktif Dharma kaynakli ransomware ailesidir. AES-256 + RSA-1024 hibrit sifreleme, email bazli fidye iletisimi. RDP brute force ile yayilir. C2 yok.

Tipo de malware

Ransomware

Linguagem de programação

C++

Protocolo C2

—

Sistemas-alvo

Windows

Também conhecido como (AKA)

Eking

Detalhes técnicos

Phobos ransomware emerged in December 2018 as a derivative of Dharma/CrySis ransomware. Encrypts files using AES-256 with RSA-1024 key exchange. Files are renamed with victim ID, attacker email address, and .phobos extension. Distributed primarily through RDP brute force attacks. Deletes volume shadow copies via vssadmin, disables Windows recovery, and terminates backup processes. Adds persistence via HKCU\Software\Microsoft\Windows\CurrentVersion\Run registry key and Startup folder. Contact is exclusively via email embedded in ransom note (no web portal). Variant of Dharma that emerged after its source code leaked on underground forums.

Atribuição / Ator da ameaça

WIZARD SPIDER (related lineage), Dharma/CrySis family

Capacidades e comportamento

Dosya Şifreleme (AES/RSA)

Gölge Kopya Silme

Yedek Kaldırma

Fidye Notu Oluşturma

Kalıcılık Sağlama

Ağ Paylaşımı Şifreleme

Anti-Analiz Teknikleri

Çift Gasp (Data Leak)

Lista IOC (2 indicadores)

IOC — Phobos

# SHA256
62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b

# MD5
9d698f5fb023c21b0629273b0ef42594

Tipo	Valor	Nota
sha256	62b096449d5dc6f876c43e48d1c27a63de0f75e70279f811b5c6ba18f9126f7b
md5	9d698f5fb023c21b0629273b0ef42594

Phobos — Ver perfil completo →