SULINFORMATICA Ransomware forsøger dobbelt afpresning

Vores forskere stødte på SULINFORMATICA, en type ransomware, under en rutinemæssig undersøgelse af nye filindsendelser. Denne ondsindede software er specielt udformet til at kryptere data og kræve betaling for dets dekryptering.

Efter at have testet SULINFORMATICA på vores evalueringssystem, fortsatte det med at kryptere filer og tilføjede en ".aes"-udvidelse til deres filnavne. For eksempel blev en fil med navnet "1.jpg" transformeret til "1.jpg.aes", og "2.png" blev til "2.png.aes" og så videre.

Da krypteringsprocessen var afsluttet, blev en løsesum-meddelelse med navnet "Instruction.txt" genereret. Fra teksten i denne besked bliver det tydeligt, at denne ransomware primært er rettet mod virksomheder snarere end individuelle brugere. SULINFORMATICA anvender også en dobbelt afpresningsstrategi.

Løsesedlen fra SULINFORMATICA underretter offeret om, at deres virksomheds netværk er blevet kompromitteret. Under angrebet blev offerets filer krypteret. Meddelelsen forsikrer, at fuldstændig gendannelse er mulig gennem dekryptering. Desuden advarer den om, at vitale databaser, dokumenter og andre filer blev stjålet fra netværket.

Offeret opfordres kraftigt til at indlede forhandlinger omgående. Hvis man ikke etablerer kontakt med angriberne inden for 24 timer, vil det have en skadelig indvirkning på forhandlingsprocessen. Beskeden antyder, at manglende overholdelse af cyberkriminelles krav ikke kun vil resultere i permanent utilgængelige filer, men også i videregivelse af de stjålne virksomhedsdata.

SULINFORMATICA Løsebeløbsnotat i sin helhed

Den komplette tekst af SULINFORMATICA løsesumsedlen lyder som følger:

Hello. I SULINFORMATICA. Your infrastructure has been hit and all files are encrypted. Be warned - this is complex multi-threaded encryption. All your files are intact, they will be fully accessible after decryption. All important files/documents/databases have been downloaded from your network. They are securely hidden and stored in order to further work with your company data. We suggest that you start negotiations to resolve the situation. You can get all the information on decryption at the contacts listed below. You can get all the information on the company's data and return it to you / or remove it from public access at the contacts listed below. We also inform you that every 24 hours delays will worsen the negotiating position. Contact us as soon as possible, we are ready to help and waiting for you. SULINFORMATICA@proton.me brazil-sulin@tutanota.com Or qTox messenger (available 24/7): (alphanumeric string)

Hvorfor bruger Ransomware-aktører dobbelt afpresning?

Ransomware-aktører bruger dobbelt afpresningstaktik af flere strategiske årsager:

• Øget gearing: Dobbelt afpresning giver ransomware-operatører større indflydelse på deres ofre. Ud over at kryptere ofrets data, truer de også med at frigive følsomme eller fortrolige oplysninger til offentligheden, hvilket potentielt kan forårsage betydelig skade på ofrets omdømme, økonomiske stabilitet eller juridiske status. Denne ekstra trussel gør ofre mere tilbøjelige til at betale løsesummen hurtigt.
• Diversificering af indkomst: Ved at stjæle data og kræve betaling ikke kun for dekryptering, men også for ikke-offentliggørelse af stjålne oplysninger, kan ransomware-aktører diversificere deres indkomststrømme. Dette giver dem mulighed for at udtrække penge fra ofre, som kan være tilbageholdende med at betale en løsesum for datagendannelse, men som er villige til at betale for at forhindre eksponering af følsomme data.
• Forbedret pres: Dobbelt afpresning skaber yderligere pres på ofrene for at imødekomme angribernes krav. Ofre står over for udsigten til ikke kun at miste adgang til deres data, men også at håndtere nedfaldet fra datalækager, herunder potentielle juridiske og regulatoriske konsekvenser. Dette ekstra pres kan presse ofrene til at træffe hurtigere beslutninger om at betale løsesummen.
• Tilpasning til defensive foranstaltninger: Efterhånden som organisationer forbedrer deres cybersikkerhedsforsvar, har ransomware-aktører søgt nye taktikker for at overvinde disse forhindringer. Dobbelt afpresning er en sådan tilpasning, da den udnytter det faktum, at selv velbeskyttede organisationer muligvis ikke er i stand til at forhindre datatyveri under et ransomware-angreb.
• Øget rentabilitet: Dobbelt afpresningsangreb kan være mere rentable for ransomware-grupper. De kan kræve et højere løsesumbeløb, fordi de tilbyder både dekrypteringsnøgler og forsikringen om, at stjålne data ikke bliver afsløret. Dette resulterer potentielt i større udbetalinger fra ofrene.