Alock Ransomware sperrt Ihr System

Bei einer routinemäßigen Auswertung frischer Dateiprobeneinsendungen stieß unsere Forschungsgruppe auf eine Art Ransomware namens Alock. Diese Ransomware-Variante ist mit der MedusaLocker-Ransomware-Familie verknüpft.

In unserer Testumgebung funktionierte die Alock-Ransomware, indem sie Dateien verschlüsselte und ihre Dateinamen mit der Erweiterung „.alock“ änderte. Beispielsweise wurde eine Datei, die ursprünglich als „1.jpg“ gekennzeichnet war, nach der Verschlüsselung zu „1.jpg.alock“, und dieses Muster wurde auf alle gesperrten Dateien übertragen.

Nach Abschluss des Verschlüsselungsvorgangs wurde ein Lösegeldschein mit dem Namen „HOW_TO_BACK_FILES.html“ erstellt. Der Inhalt dieser Nachricht machte deutlich, dass Alock in erster Linie auf Organisationen und nicht auf einzelne Benutzer abzielt. Darüber hinaus nutzt diese Ransomware eine Strategie der doppelten Erpressung.

Der Lösegeldschein („HOW_TO_BACK_FILES.html“) teilte dem Opfer mit, dass sein Unternehmensnetzwerk gehackt worden sei. Wichtige Dateien wurden verschlüsselt und sensible oder persönliche Daten wurden gestohlen.

Bei der Verschlüsselung der Dateien wurden kryptografische Algorithmen wie RSA und AES verwendet, sodass eine Entschlüsselung ohne Eingreifen der Angreifer unmöglich war. Das Opfer wurde darauf hingewiesen, dass jede Änderung oder Umbenennung der verschlüsselten Daten oder jeder Versuch, sie mit Software von Drittanbietern wiederherzustellen, zu einem dauerhaften Entschlüsselungsfehler führen würde.

In der Notiz wurde klargestellt, dass ein Lösegeld gezahlt werden musste, um die Entschlüsselung einzuleiten. Wenn die Cyberkriminellen nicht innerhalb von 72 Stunden kontaktiert würden, würde dies zu einer Eskalation des geforderten Betrags führen. Bevor das Opfer den Lösegeldforderungen nachkam, hatte es die Möglichkeit, die Entschlüsselung einiger Dateien zu testen. Sollte das Opfer die Zahlung verweigern, würden die kompromittierten Informationen entweder offengelegt oder zum Verkauf angeboten.

Die Lösegeldforderung von Alock erhöht die Lösegeldforderung innerhalb von drei Tagen

Der vollständige Text der Alock-Lösegeldforderung lautet wie folgt:

IHRE PERSÖNLICHE ID:

Das Netzwerk Ihres Unternehmens wurde unterwandert
Alle Ihre wichtigen Dateien wurden verschlüsselt!

Ihre Dateien sind sicher! Nur geändert. (RSA+AES)

JEGLICHER VERSUCH, IHRE DATEIEN MIT SOFTWARE VON DRITTANBIETERN WIEDERHERZUSTELLEN
WIRD ES DAUERHAFT BESCHÄDIGEN.
ÄNDERN SIE VERSCHLÜSSELTE DATEIEN NICHT.
VERSCHLÜSSELTE DATEIEN NICHT UMBENENNEN.

Keine im Internet verfügbare Software kann Ihnen helfen. Wir sind die einzigen, die dazu in der Lage sind
Lösen Sie Ihr Problem.

Wir haben streng vertrauliche/persönliche Daten erhoben. Diese Daten werden aktuell auf gespeichert
ein privater Server. Dieser Server wird sofort nach Ihrer Zahlung zerstört.
Wenn Sie sich entscheiden, nicht zu zahlen, geben wir Ihre Daten an die Öffentlichkeit oder einen Weiterverkäufer weiter.
Sie können also davon ausgehen, dass Ihre Daten in naher Zukunft öffentlich verfügbar sein werden.

Wir streben nur nach Geld und unser Ziel ist es nicht, Ihren Ruf zu schädigen oder zu verhindern
Ihr Unternehmen vom Laufen.

Sie können uns 2-3 unwichtige Dateien senden und wir entschlüsseln sie kostenlos
um zu beweisen, dass wir Ihre Dateien zurückgeben können.

Kontaktieren Sie uns für den Preis und erhalten Sie eine Entschlüsselungssoftware.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion

Beachten Sie, dass dieser Server nur über den Tor-Browser verfügbar ist

Folgen Sie den Anweisungen, um den Link zu öffnen:

1. Geben Sie die Adresse „hxxps://www.torproject.org“ in Ihren Internetbrowser ein. Es öffnet die Tor-Site.
2. Klicken Sie auf „Tor herunterladen“, dann auf „Tor-Browser-Bundle herunterladen“, installieren Sie es und führen Sie es aus.
3. Jetzt haben Sie den Tor-Browser. Öffnen Sie im Tor-Browser qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
4. Starten Sie einen Chat und folgen Sie den weiteren Anweisungen.

Wenn Sie den obigen Link nicht verwenden können, verwenden Sie die E-Mail:
ithelp02@securitymy.name
ithelp02@yousheltered.com

Um mit uns Kontakt aufzunehmen, erstellen Sie ein neues kostenloses E-Mail-Konto auf der Website: protonmail.com

WENN SIE UNS NICHT INNERHALB VON 72 STUNDEN KONTAKTIEREN, IST DER PREIS HÖHER.

Wie kann Ransomware wie Alock Ihren Computer infiltrieren?

Ransomware wie Alock kann über verschiedene Methoden und Angriffsvektoren in Ihren Computer eindringen. Hier sind einige gängige Möglichkeiten, wie Ransomware Zugriff auf Ihr System erhalten kann:

• Phishing-E-Mails: Eine der am weitesten verbreiteten Methoden sind Phishing-E-Mails. Angreifer versenden E-Mails, die seriös erscheinen und sich häufig als vertrauenswürdige Entität ausgeben oder verlockende Betreffzeilen und Anhänge enthalten. Diese Anhänge können schädliche Payloads oder Links enthalten, die beim Anklicken die Ransomware herunterladen und ausführen.
• Schädliche Websites und Downloads: Auch der Besuch kompromittierter oder bösartiger Websites kann zu einer Ransomware-Infektion führen. Manchmal verwenden Angreifer Exploit-Kits, die Schwachstellen in Ihrem Browser oder Plugins ausnutzen, um die Ransomware ohne Ihr Wissen zu verbreiten.
• Malvertising: Angreifer können bösartigen Code in legitime Online-Anzeigen einschleusen und Benutzer auf Websites umleiten, auf denen Ransomware gehostet wird. Ein einfacher Klick auf eine manipulierte Anzeige kann den Download und die Ausführung der Ransomware auslösen.
• Infizierte Software-Installationsprogramme: Kriminelle können legitime Software-Installationsprogramme kompromittieren und sie mit Ransomware-Payloads bündeln. Wenn Benutzer diese infizierten Anwendungen herunterladen und installieren, wird die Ransomware aktiviert.
• RDP-Angriffe (Remote Desktop Protocol): Wenn auf Ihrem Computer RDP aktiviert und schlecht gesichert ist, können Angreifer schwache Passwörter oder Schwachstellen ausnutzen, um Fernzugriff zu erhalten und Ransomware zu installieren.
• Software-Schwachstellen: Ransomware kann bekannte Schwachstellen in Ihrem Betriebssystem, Ihrer Software oder Ihren Anwendungen ausnutzen. Wenn Sie Ihre Software mit den neuesten Sicherheitspatches auf dem neuesten Stand halten, können Sie dieses Risiko mindern.
• Social Engineering: Angreifer könnten Benutzer dazu manipulieren, freiwillig Ransomware herunterzuladen und auszuführen. Dies könnte darin bestehen, sie dazu zu verleiten, ein scheinbar legitimes Software-Update oder eine legitime Datei zu installieren.
• Schädliche E-Mail-Anhänge: Anhänge in E-Mails können Makros oder Skripte enthalten, die beim Öffnen des Anhangs Ransomware ausführen. Dies ist eine gängige Methode zur Verbreitung von Ransomware.