LockFile Ransomware gefährdet Microsoft Exchange Server

In den letzten Monaten haben Cyberkriminelle aktiv Microsoft Exchange-Server ins Visier genommen. Mehrere Malware-Ersteller und Ransomware-Betreiber missbrauchen aktuelle Sicherheitslücken, um ausnutzbare Server zu übernehmen und dann ihre bösartigen Apps darauf zu installieren. Eine der neuesten Schwachstellen, die Gauner ausnutzen, ist ProxyShell, und ihre Versuche waren bisher leider erfolgreich. Die Bande hinter der LockFile Ransomware missbraucht genau diese Schwachstellen, um den gefährlichen Trojaner zur Dateiverschlüsselung auszuführen.

Die ProxyShell-Schwachstellen tauchten erstmals vor einigen Monaten auf und wurden im Mai von Microsoft offiziell gepatcht. Es gibt jedoch noch viele ungepatchte Microsoft Exchange-Server, die für das Internet geöffnet sind. Die Kriminellen verwenden spezielle Tools, um das Web zu scannen und Server zu finden, auf denen die veralteten Versionen laufen, die immer noch die ProxyShell-Schwachstellen aufweisen. Eine weitere Ransomware-Familie, die vor kurzem Microsoft Exchange-Server angreifen sollte, ist die Epsilon Red Ransomware .

Wie wird die LockFile-Ransomware gepflanzt?

Sobald die Angreifer einen Microsoft Exchange Server erfolgreich ausnutzen, pflanzen sie eine bisher unbekannte Web-Shell. Es ermöglicht ihnen, Remote-Befehle auszuführen und verschiedene Funktionen auf den Systemen zu steuern, die sie gefährden. Der primäre Zweck der Web-Shell besteht in diesem Fall natürlich darin, die reibungslose Ausführung der LockFile Ransomware zu gewährleisten.

Sobald der File-Locker seine Arbeit aufgenommen hat, verschlüsselt er schnell den Inhalt wertvoller Dateien, die auf dem Computer gespeichert sind. Die Bedrohung hängt die Dateiendung ".lockfile" an Dateien an, die sie beschädigt, und hinterlässt auch eine Lösegeldforderung, um dem Opfer Anweisungen zu geben. Die Nachricht enthält normalerweise den Namen des Opfers - -LOCKFILE-README.hta. Die Nachricht im Inneren enthüllt dem Opfer die Situation und schlägt eine kostenpflichtige Datenwiederherstellungsoption vor. Die Kriminellen scheinen begierig darauf zu sein, an das Geld zu kommen, und nennen zwei wichtige Bedingungen:

• Opfer, die innerhalb von 24 Stunden bezahlen, erhalten einen Rabatt von 50%.
• Opfer, die nicht innerhalb von 48 Stunden zahlen, werden ihre Dateien dauerhaft gelöscht.

Es ist nicht klar, ob die Angreifer bluffen oder nicht. Sie raten ihren Opfern, sie über die E-Mail contact@contipauper.com oder über den Tox-Messaging-Client zu kontaktieren. Es ist eine schlechte Idee, mit den Kriminellen zusammenzuarbeiten. Sie geben Ihnen keinen Grund, ihnen zu vertrauen, und es wäre sehr einfach für sie, Sie um Ihr Geld zu betrügen. Opfer der LockFile Ransomware sollten ein Antiviren-Tool verwenden, um die Malware zu beenden und dann ihre Dateien durch ein Backup wiederherzustellen.