Meduza (MedusaLocker) Ransomware

Meduza, som er en type ransomware fra MedusaLocker-familien, blev identificeret under vores analyse af malware-prøver. Dens primære funktion er at kryptere filer, og den tilføjer en specifik udvidelse (såsom ".meduza24") til filnavnene, mens den også genererer en løsesumseddel med navnet "How_to_back_files.html."

For at illustrere, når Meduza krypterer filer, omdøber den dem som følger: "1.jpg" bliver "1.jpg.meduza24", "2.png" ændres til "2.png.meduza24" og så videre.

Løsesedlen informerer offeret om, at deres vigtige filer er blevet krypteret ved hjælp af RSA- og AES-krypteringsmetoder. Det fraråder på det kraftigste ethvert forsøg på at gendanne disse filer ved hjælp af tredjepartssoftware, da dette kan føre til permanent korruption. Det frarådes også at ændre eller omdøbe de krypterede filer.

Ifølge løsesumsedlen kan ingen software tilgængelig online hjælpe med dekryptering, og den eneste løsning ligger hos angriberne. De hævder at have indsamlet meget fortrolige og personlige data, gemt på en privat server, som vil blive slettet ved modtagelse af betaling. Manglende betaling vil medføre, at dataene bliver offentliggjort eller solgt.

Notatet understreger, at angriberne udelukkende er motiveret af økonomisk vinding og ikke har til hensigt at skade modtagerens omdømme eller forretningsdrift. For at demonstrere deres evne til at dekryptere filer, tilbyder de at dekryptere 2-3 mindre vigtige filer gratis efter anmodning.

Kontaktoplysninger til forhandling af løsesum og opnåelse af dekrypteringssoftware leveres via to e-mailadresser (ithelp01@securitymy.name og ithelp01@yousheltered.com). Notatet råder også til at oprette en ny, gratis e-mail-konto på protonmail.com for at etablere kontakt.

Efter en 72-timers frist stiger løsesummen, hvis offeret undlader at kontakte angriberne. Derudover er der en henvisning til Tor-chat for løbende kommunikation.

Meduza Ransom Note i sin helhed

Den komplette tekst af Meduza løsesumsedlen lyder som følger:

DIT PERSONLIGE ID:

DIT VIRKSOMHEDSNETVÆRK ER BLEVET PENETRERET
Alle dine vigtige filer er blevet krypteret!

Dine filer er sikre! Kun modificeret. (RSA+AES)

EVENTUELLE FORSØG PÅ GENDANNELSE AF DINE FILER MED TREDJEPARTS SOFTWARE
VIL PERMANENT KORRUPTERE DET.
MODIFICER IKKE KRYPTEREDE FILER.
OMKRYPT IKKE KRYPTEREDE FILER.

Ingen software tilgængelig på internettet kan hjælpe dig. Det er vi de eneste, der kan
løse dit problem.

Vi indsamlede meget fortrolige/personlige data. Disse data er i øjeblikket gemt på
en privat server. Denne server vil straks blive ødelagt efter din betaling.
Hvis du beslutter dig for ikke at betale, vil vi frigive dine data til offentligheden eller videresælgeren.
Så du kan forvente, at dine data bliver offentligt tilgængelige i den nærmeste fremtid.

Vi søger kun penge, og vores mål er ikke at skade dit omdømme eller forhindre
din virksomhed fra at køre.

Du kan sende os 2-3 ikke-vigtige filer, og vi vil dekryptere dem gratis
for at bevise, at vi er i stand til at give dine filer tilbage.

Kontakt os for pris og få dekrypteringssoftware.

e-mail:
ithelp01@securitymy.name
ithelp01@yousheltered.com
For at kontakte os skal du oprette en ny gratis e-mail-konto på webstedet: protonmail.com
HVIS DU IKKE KONTAKTER OS INDEN FOR 72 TIMER, VIL PRISEN VÆRE HØJERE.

Tor-chat for altid at være i kontakt:

Hvordan kan Ransomware inficere din computer?

Ransomware kan inficere din computer gennem forskellige metoder, og det er ofte afhængigt af social engineering taktik for at narre brugere til at starte infektionen. Her er nogle almindelige måder, hvorpå ransomware kan inficere din computer:

• Ondsindede vedhæftede filer: En af de mest almindelige metoder er gennem phishing-e-mails. Angribere sender e-mails, der virker legitime og kan indeholde vedhæftede filer, såsom PDF'er eller Office-dokumenter, med indlejret ondsindet kode. Når du åbner den vedhæftede fil, udføres ransomwaren.
• Ondsindede links: Phishing-e-mails kan også indeholde links til ondsindede websteder. Ved at klikke på disse links kan det føre til drive-by downloads, hvor ransomwaren automatisk downloades og udføres uden din viden.
• Falske softwareopdateringer: Angribere kan oprette falske softwareopdateringsmeddelelser eller pop-ups, der efterligner legitime opdateringer til dit operativsystem eller software. Hvis du downloader og installerer disse falske opdateringer, kan du måske ubevidst installere ransomware.
• Inficeret software: Nogle gange kompromitterer angribere lovlige softwareinstallatører og injicerer ransomware i dem. Når du downloader og installerer, hvad der ser ud til at være et sikkert program, installerer du utilsigtet ransomware.
• Malvertising: Ondsindet annoncering, eller malvertising, involverer cyberkriminelle, der placerer inficerede annoncer på lovlige websteder. Ved at klikke på disse annoncer kan du omdirigere dig til websteder, der distribuerer ransomware.
• Remote Desktop Protocol (RDP)-angreb: Hvis din RDP er forkert sikret, kan angribere udnytte sårbarheder til at få fjernadgang til din computer. Når de først er inde, kan de installere ransomware.
• Udnyttelse af sårbarheder: Ransomware kan udnytte softwaresårbarheder i dit operativsystem eller dine programmer. At holde din software opdateret med de nyeste sikkerhedsrettelser hjælper med at beskytte mod denne metode.
• Social Engineering: Angribere kan efterligne betroede enheder, såsom teknisk support eller kolleger, for at narre dig til at downloade og udføre filer, der indeholder ransomware.