Lorenz Ransomware Gang sucht Unternehmen in verschiedenen Branchen
Hochkarätige Ransomware-Banden haben ihren Fokus allmählich von regulären Benutzern auf Unternehmen und Unternehmen verlagert. Die neueste Ransomware-Bedrohung für diesen Ansatz ist die Lorenz Ransomware, und leider scheint es unmöglich zu sein, dieses File-Locker zu knacken. Genau wie die DarkSide Ransomware-Hacker drohen auch diese, gestohlene Dateien online freizugeben, wenn das Opfer nicht bereit ist, eine Lösegeldgebühr zu zahlen. Laut Forschern scheint der Verschlüsselungsmechanismus von Lorenz Ransomware dem von ThunderCrypt Ransomware zu ähneln, einem weiteren File-Locker, der vor über zwei Jahren zum ersten Mal aufgetaucht ist. Die DarkSide Ransomware-Bande erregte kürzlich internationale Aufmerksamkeit aufgrund ihres Angriffs auf die in den USA ansässige Colonial Pipeline .
Leider scheinen die Betreiber von Lorenz Ransomware ihre Drohungen, die Daten des Opfers online zu veröffentlichen, ernst zu nehmen. Sie haben bereits eine Website zur Veröffentlichung der Datenlecks eingerichtet, und die Daten von über zehn Opfern sind dort aufgeführt.
Es ist nicht klar, wie die Lorenz Ransomware die Malware verbreitet und sicherstellt, dass sie das beabsichtigte Opfer erreicht. Bisher verwendet diese Ransomware-Bande zwei Erpressungstechniken, um Geld von ihrem Opfer zu bekommen - sie bieten an, einen Entschlüsseler zu verkaufen, und sie drohen, ihre Dateien online zu verlieren. Die an dieser Kampagne beteiligten Kriminellen haben sich jedoch auch für eine dritte Erpressungsmethode entschieden - sie behaupten, den Zugang zu den kompromittierten Netzwerken zu verkaufen. Dies ist ein weiterer Grund, warum das Opfer möglicherweise die Zahlung der Lösegeldgebühr in Betracht ziehen möchte.
Angeblich führen die Kriminellen die Lorenz Ransomware manuell auf dem gefährdeten System aus - dies könnte bedeuten, dass sie sich zuerst auf andere Schwachstellen oder Malware verlassen, um Zugriff auf das Netzwerk zu erhalten. Der Befehl, mit dem die Lorenz Ransomware ausgeführt wird, enthält auch Konfigurationsinformationen zur Nutzlast - Prozessname, Lösegeldnotizname, Suffix zum Markieren gesperrter Dateien usw. Bei einem der Opfer wurden die Dateien mit '.Lorenz.xz40' gekennzeichnet ' Dateierweiterung.
Nach Abschluss des Angriffs wird die Lösegeldnotiz 'HELP_SECURITY_EVENT.html' auf dem System abgelegt. Es enthält eine benutzerdefinierte TOR-basierte Zahlungsseite für jedes Opfer - eine der Seiten verlangt ungefähr 14 Bitcoin oder ungefähr 700.000 US-Dollar. Bisher haben sich keine Opfer für die Zahlung der Lösegeldgebühr entschieden. Daher ist es eine Frage der Zeit, ob die Betreiber von Lorenz Ransomware am Ende Daten öffentlich veröffentlichen oder den Zugang zu den gefährdeten Netzwerken verkaufen werden.
