AeR Ransomware basiert auf Dharma-Code

AeR, ein Schadprogramm der Dharma-Ransomware-Familie, verschlüsselt Dateien und verlangt Lösegeld für deren Entschlüsselung.

AeR verschlüsselt Dateien und ändert ihre Namen, indem es eine eindeutige, dem Opfer zugewiesene ID, die E-Mail-Adresse der Cyberkriminellen und eine „.AeR“-Erweiterung anhängt. Zur Veranschaulichung: Eine Datei mit der ursprünglichen Bezeichnung „1.jpg“ wird in „1.jpg.id-9ECFA84E.[aerossh@nerdmail.co].AeR“ umgewandelt.

Anschließend generiert die Ransomware zwei separate Lösegeldforderungen. Textdateien mit dem Titel „info.txt“ werden auf dem Desktop und den betroffenen Verzeichnissen abgelegt, während die andere Meldung als Popup-Fenster erscheint.

Die Textdatei von AeR ermutigt das Opfer in erster Linie, Kontakt zu den für den Angriff verantwortlichen Cyberkriminellen aufzunehmen. Das Popup-Fenster enthält weitere Informationen und erklärt, dass die Dateien des Opfers verschlüsselt wurden.

Es werden Zusicherungen hinsichtlich der Möglichkeit einer Datenwiederherstellung gegeben, was impliziert, dass für die Entschlüsselung eine Lösegeldzahlung in der Kryptowährung Bitcoin erforderlich ist. Das Opfer hat die Möglichkeit, die Entschlüsselung für bis zu drei Dateien kostenlos (innerhalb bestimmter Parameter) zu testen. Das Popup endet mit expliziten Warnungen.

AeR-Lösegeldschein verwendet Dharma-Vorlage

Der vollständige Text der von der AeR-Ransomware generierten Lösegeldforderung lautet wie folgt:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: aerossh@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:aerossh@proton.me

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Aufmerksamkeit!
Benennen Sie verschlüsselte Dateien nicht um.
Versuchen Sie nicht, Ihre Daten mit Software von Drittanbietern zu entschlüsseln, da dies zu einem dauerhaften Datenverlust führen kann.
Die Entschlüsselung Ihrer Dateien mit Hilfe Dritter kann zu höheren Kosten führen (sie berechnen ihre Gebühr zu unseren) oder Sie können Opfer eines Betrugs werden.

Wie verschlüsselt Ransomware Daten und macht sie unzugänglich?

Ransomware verschlüsselt Daten durch einen Prozess, der hochentwickelte Verschlüsselungsalgorithmen beinhaltet, um sie unzugänglich zu machen. Hier finden Sie eine Übersicht darüber, wie dies normalerweise geschieht:

Infiltration: Ransomware verschafft sich auf verschiedene Weise Zugriff auf einen Computer oder ein Netzwerk, beispielsweise über Phishing-E-Mails, bösartige Anhänge, kompromittierte Websites oder die Ausnutzung von Software-Schwachstellen. Sobald es drinnen ist, beginnt es mit dem Verschlüsselungsprozess.

Ausführung: Nach dem Zugriff führt die Ransomware ihren Code auf dem System des Opfers aus. Dies beinhaltet oft die Erstellung mehrerer Kopien von sich selbst und die Initiierung von Prozessen, die es ihm ermöglichen, heimlich zu agieren.

Auffinden von Dateien: Ransomware scannt das System des Opfers, um bestimmte Dateitypen oder Verzeichnisse zu identifizieren, die es verschlüsseln möchte. Einige Ransomware-Varianten zielen auf eine Vielzahl von Dateitypen ab, während andere sich auf bestimmte Daten wie Dokumente, Bilder oder Datenbanken konzentrieren.

Verschlüsselung: Ransomware verwendet starke und typischerweise asymmetrische Verschlüsselungsalgorithmen wie RSA oder AES, um die identifizierten Dateien zu verschlüsseln. Bei der asymmetrischen Verschlüsselung handelt es sich um ein Schlüsselpaar – einen öffentlichen Schlüssel zum Verschlüsseln der Daten und einen privaten Schlüssel im Besitz des Angreifers zum Entschlüsseln. Dadurch wird sichergestellt, dass nur der Angreifer die Dateien entschlüsseln kann.

Dateiänderung: Sobald die Ransomware verschlüsselt ist, ändert sie häufig die Dateinamen und fügt eine bestimmte Dateierweiterung hinzu, um anzuzeigen, dass die Dateien nun unter ihrer Kontrolle stehen. Das Opfer erhält möglicherweise auch einen Lösegeldschein, in dem die Situation erläutert und Anweisungen zur Bezahlung des Entschlüsselungsschlüssels gegeben werden.

Kommunikation mit Command and Control (C2) Server: In einigen Fällen kommuniziert Ransomware mit einem Command and Control Server, der vom Angreifer kontrolliert wird. Diese Kommunikation kann das Versenden von Informationen über das infizierte System und den Empfang von Anweisungen zum weiteren Vorgehen bei der Lösegeldforderung umfassen.