Keylock Ransomware bruger lang løsepengenotat

Vores forskere identificerede Keylock som en type ransomware-program under en regelmæssig undersøgelse af nye filindsendelser. Ransomware fungerer ved at kryptere filer og derefter kræve betaling for deres dekryptering.

På vores testsystem krypterede Keylock filer og tilføjede en ".keylock"-udvidelse til deres filnavne. For eksempel blev en fil, der oprindeligt hed "1.jpg" til "1.jpg.keylock", "2.png" blev til "2.png.keylock" og så videre for alle berørte filer.

Når krypteringsprocessen var afsluttet, blev der genereret en løsesum med titlen "README-id-[brugernavn].txt". Keylock ændrede også skrivebordsbaggrunden.

Tapetet fra Keylock guider offeret til tekstfilen. Løsesedlen i denne fil forklarer, at de utilgængelige filer er blevet krypteret og antyder, at ofrets data er blevet taget.

For at gendanne dataene skal offeret anskaffe sig den unikke dekrypteringsnøgle, som angriberne ligger inde med. At opnå dekrypteringsværktøjerne kræver betaling af en uspecificeret løsesum i Bitcoin-kryptovaluta. Offeret får 72 timer til at kontakte de cyberkriminelle; undlader det at gøre det, vil de stjålne virksomhedsdata blive afsløret eller solgt.

Før der foretages nogen betalinger, har offeret mulighed for at teste dekrypteringsprocessen ved at sende op til tre krypterede filer til angriberne. Disse filer bør ikke overstige 2 MB og bør ikke indeholde værdifuld information.

Meddelelsen advarer også mod at omdøbe, ændre eller slette de krypterede filer, forsøge manuel dekryptering eller bruge tredjepartsgendannelsessoftware eller antivirusværktøjer, da disse handlinger kan resultere i permanent datatab.

Keylock løsesumseddel truer med læk 72 timer efter angreb

Den fulde tekst af Keylock løsesum noten lyder som følger:

DINE FILER ER KRYPTET

Dine filer er blevet krypteret med stærke krypteringsalgoritmer og modificeret og har nu filtypenavnet '.keylock'!
Filstrukturen var ikke beskadiget. Bare rolig, din unikke krypteringsnøgle er opbevaret sikkert på vores server, og dine data kan dekrypteres hurtigt og sikkert.
Vi garanterer, at du nemt kan gendanne alle dine data.
Vi giver dig fuld instruktion. Og hjælpe dig, indtil dekrypteringsprocessen er helt færdig.

Vi kan bevise, at vi kan dekryptere alle dine data. Send os venligst 3 ikke vigtige, små (~2mb) krypterede filer, som er tilfældigt gemt på din server. Vedhæft også din README-id.txt efterladt af os i hver mappe.
Vi dekrypterer disse filer og sender dem til dig som bevis. Bemærk venligst, at filer til gratis testdekryptering ikke bør indeholde værdifuld information.

Hvis du ikke starter en dialog med os inden for 72 timer, vil vi være tvunget til at offentliggøre dine filer i det offentlige domæne. Dine kunder og samarbejdspartnere vil blive informeret om datalækket.
På denne måde vil dit omdømme blive ødelagt. Hvis du ikke reagerer, vil vi være tvunget til at sælge de vigtigste informationer såsom databaser og persondata til interesserede parter for at skabe en vis fortjeneste.
Det er bare en forretning.
Vi er absolut ligeglade med dig og dine aftaler, bortset fra at få fordele.
Hvis vi ikke gør vores arbejde og forpligtelser - vil ingen samarbejde med os. Det er ikke i vores interesse.

Hvis du ønsker at dekryptere dine filer, skal du betale med Bitcoins.
Hvis du ønsker at løse denne situation, skal du vedhæfte denne fil README-id.txt i brevet og skrive til ALLE disse 2 e-mailadresser:

nøglering@onionmail.org
keybranch@mailfence.com

Du kan også sende en besked til os på Telegram: hxxps://t.me/key_chain

VIGTIG!
Vi anbefaler, at du kontakter os direkte for at undgå overbetalende agenter. Du data krypteret og kun VI ER har en dekrypteringsnøgle. For at dekryptere dine data behøver du kun 1 time, efter betaling, ikke mere end.
Vi beder om at sende din besked til ALLE vores 2 e-mail-adresser og Telegram, fordi din e-mail af forskellige årsager muligvis ikke bliver leveret.
Vores besked kan blive genkendt som spam, så sørg for at tjekke spam-mappen.
Hvis vi ikke svarer dig inden for 24 timer, så skriv til os fra en anden e-mailadresse.
Spild ikke tiden, det vil kun resultere i yderligere skade på din virksomhed.
Venligst ikke omdøb og prøv at dekryptere filerne selv. Vi vil ikke være i stand til at hjælpe dig, hvis filer vil blive ændret.
Hvis du vil forsøge at bruge tredjepartssoftware til at gendanne dine data eller antivirusløsninger, bedes du lave en sikkerhedskopi af alle krypterede filer.
Hvis du sletter krypterede filer fra den aktuelle computer, kan du muligvis ikke dekryptere dem.

Hvorfor bruger Ransomware-aktører trusler om datalæk?

Ransomware-aktører bruger datalækstrusler af flere årsager:

• Øget gearing: Truer med at lække følsomme data giver ransomware-operatører øget indflydelse på deres ofre. Det tilføjer et ekstra lag af pres ved at få offeret til at føle, at deres filer ikke kun er krypteret og utilgængelige, men at deres private og potentielt skadelige oplysninger også kan blive udsat for offentligheden.
• Højere løsesumsbetalinger: Ofre er mere tilbøjelige til at betale et højere løsesum, når de mener, at de stjålne data er følsomme, fortrolige eller værdifulde. Frygten for skade på omdømmet, juridiske konsekvenser eller økonomisk tab kan få ofrene til at opfylde løsesumskravene.
• Omdømmeskade: Datalækage kan skade en organisations omdømme alvorligt. Hvis følsomme eller private oplysninger afsløres, kan det udhule tilliden blandt kunder, partnere og interessenter. Virksomheder ønsker ofte at forhindre datalæk for enhver pris for at beskytte deres image.
• Juridiske og overholdelsesbekymringer: Trusler om datalæk kan skabe betydelige juridiske og overholdelsesproblemer for organisationer. Afhængigt af arten af de stjålne data, kan organisationer blive underlagt lovgivningsmæssige bøder og retssager. At betale løsesum kan virke som en måde at undgå disse potentielle konsekvenser.
• Offentlig skam: Nogle ransomware-grupper bruger datalækstrusler som en taktik til offentligt at skamme deres ofre. De kan lække en del af de stjålne data eller fremlægge bevis for bruddet, hvilket kan føre til negativ medieopmærksomhed og offentlig forlegenhed for offerorganisationen.
• Pres for at betale hurtigt: Truslen om datalæk kommer ofte med en stram deadline, hvilket tvinger ofrene til at træffe hurtige beslutninger. Dette haster kan føre til forhastede løsesumsbetalinger for at forhindre dataeksponering.