Buhti Ransomware zielt auf Opfer ab, die sowohl Windows als auch Linux ausführen

Buhti ist eine Art Ransomware, die sowohl auf Windows- als auch auf Linux-Systeme abzielt. Während sich die Nutzlast der Buhti-Ransomware hauptsächlich auf Windows-Computer konzentriert und mit einigen geringfügigen Anpassungen eine Variante der zuvor durchgesickerten LockBit 3.0-Ransomware ist, gibt es auch eine modifizierte Version, die speziell für den Angriff auf Linux-Systeme entwickelt wurde und die durchgesickerte Babuk-Ransomware ausnutzt.

Wenn Buhti ein System infiziert, verschlüsselt es Dateien und ersetzt ihre ursprünglichen Dateinamen durch eine Folge zufälliger Zeichen. Zusätzlich wird die ID des Opfers als neue Erweiterung an jede verschlüsselte Datei angehängt. Beispielsweise würde eine Datei mit dem ursprünglichen Namen „1.jpg“ in „4G8of7O.fxkJts2wg“ umgewandelt, während „2.png“ in „HePwiFM.fxkJts2wg“ usw. umgewandelt würde. Neben diesem Verschlüsselungsprozess hinterlässt Buhti auch einen Lösegeldschein mit dem Namen „[victim's_ID].README.txt“.

In der Lösegeldforderung wird erklärt, dass die Dateien des Opfers mit robusten Verschlüsselungsalgorithmen verschlüsselt wurden, sodass es für sie praktisch unmöglich ist, die Daten unabhängig zu entschlüsseln. In der Notiz wird jedoch behauptet, dass es für die Opfer eine Lösung gibt, mit der sie ihre Dateien wiederherstellen können – durch den Kauf eines speziellen Programms namens Decryptor. Die Lösegelder versichern den Opfern, dass diese Entschlüsselungssoftware gründlichen Tests unterzogen wurde und ihre Daten erfolgreich wiederherstellen wird.

Um wieder Zugriff auf ihre verschlüsselten Dateien zu erhalten, werden die Opfer in der Notiz angewiesen, einen Webbrowser zu verwenden und eine bestimmte Website zu besuchen. Anschließend werden sie aufgefordert, eine gültige E-Mail-Adresse einzugeben, über die nach erfolgter Zahlung ein Download-Link für den Entschlüsseler zugesandt wird. Die Lösegeldzahlung wird in Bitcoin verlangt und den Opfern wird für die Transaktion eine konkrete Bitcoin-Adresse mitgeteilt.

Sobald die Zahlung abgeschlossen ist, erhalten die Opfer eine E-Mail mit einem Link zu einer Download-Seite. Diese Seite enthält detaillierte Anweisungen zur Verwendung des Entschlüsselers zum Wiederherstellen ihrer Dateien. In der Lösegeldforderung werden die potenziellen Risiken hervorgehoben, die mit der Änderung oder dem Versuch, die Dateien unabhängig wiederherzustellen, einhergehen, und es wird behauptet, dass solche Maßnahmen nicht zu einer erfolgreichen Wiederherstellung der verschlüsselten Daten führen würden.

Buhti-Lösegeldschein fordert Bitcoin-Zahlung

Der vollständige Text der Buhti-Lösegeldforderung lautet wie folgt:

Willkommen bei buhtiRansom

Was ist passiert?

Ihre Dateien werden verschlüsselt. Wir verwenden starke Verschlüsselungsalgorithmen, sodass Sie Ihre Daten nicht entschlüsseln können.
Aber Sie können alles wiederherstellen, indem Sie bei uns ein spezielles Programm kaufen – Universal Decryptor. Dieses Programm stellt alle Ihre Dateien wieder her.
Befolgen Sie unsere nachstehenden Anweisungen und Sie werden alle Ihre Daten wiederherstellen.

Welche Garantien?

Wir schätzen unseren Ruf. Wenn wir unserer Arbeit und unseren Verpflichtungen nicht nachkommen, wird uns niemand bezahlen. Das liegt nicht in unserem Interesse.
Unsere gesamte Entschlüsselungssoftware ist perfekt getestet und entschlüsselt Ihre Daten.

Wie erhalte ich Zugang?

Verwendung eines Browsers:
1) Öffnen Sie die Website: hxxps://satoshidisk.com/pay/CIGsph
2) Geben Sie eine gültige E-Mail-Adresse ein, um nach der Zahlung den Download-Link zu erhalten.
3) Zahlen Sie den Betrag an die Bitcoin-Adresse.
4) Erhalten Sie per E-Mail einen Link zur Download-Seite.
5) Entschlüsselungsanleitung enthalten.

!!! ACHTUNG !!!
ÄNDERN Sie keine Dateien und versuchen Sie auch nicht, sie selbst wiederherzustellen. Eine Wiederherstellung ist NICHT möglich.
!!! ACHTUNG !!!

Wie wird Ransomware wie Buhti online verbreitet?

Ransomware wie Buhti wird in der Regel online über verschiedene Methoden verbreitet, indem sie Schwachstellen ausnutzt und Social-Engineering-Taktiken einsetzt. Hier sind einige gängige Vertriebskanäle und Techniken, die von Ransomware wie Buhti verwendet werden:

• Phishing-E-Mails: Eine weit verbreitete Methode sind Phishing-E-Mails. Angreifer versenden betrügerische E-Mails, die legitim erscheinen und sich oft als vertrauenswürdige Organisationen oder Einzelpersonen ausgeben. Diese E-Mails können infizierte Anhänge enthalten, beispielsweise schädliche ausführbare Dateien oder Dokumente, in die Makro-Malware eingebettet ist. Das Öffnen dieser Anhänge löst den Ransomware-Installationsprozess aus.
• Schädliche Websites und Drive-by-Downloads: Cyberkriminelle können bösartige Websites erstellen oder legitime Websites kompromittieren, um Ransomware zu verbreiten. Ahnungslose Benutzer können die Ransomware unwissentlich herunterladen, indem sie diese Websites besuchen oder auf kompromittierte Links klicken. Drive-by-Downloads treten auf, wenn Malware ohne Zustimmung oder Wissen des Benutzers automatisch heruntergeladen wird.
• Exploit-Kits: Ransomware kann mithilfe von Exploit-Kits verbreitet werden. Dabei handelt es sich um Toolkits, die Schwachstellen in Software oder Webbrowsern ausnutzen. Wenn ein Benutzer eine manipulierte Website besucht oder auf eine bösartige Werbung klickt, sucht das Exploit-Kit nach Schwachstellen und liefert die Ransomware-Nutzlast.
• RDP-Angriffe (Remote Desktop Protocol): Angreifer zielen auf Systeme mit exponierten oder schwach gesicherten Remote Desktop Protocol-Verbindungen ab. Sie nutzen Brute-Force-Angriffe, um sich unbefugten Zugriff auf das System zu verschaffen und Ransomware zu installieren.
• Schädliche Werbung (Malvertising): Schädliche Werbung oder Malvertisement kann auf legitimen Websites und Werbenetzwerken gefunden werden. Diese Anzeigen enthalten versteckte Skripte, die Benutzer auf Websites umleiten, auf denen Ransomware gehostet wird, oder automatische Downloads auslösen.
• Filesharing-Netzwerke und Raubkopien: Illegale oder geknackte Software, die von Filesharing-Netzwerken heruntergeladen wird, wird häufig mit Ransomware oder anderer Malware gebündelt. Benutzer, die unentgeltlich Software oder Medien erhalten möchten, laufen Gefahr, versehentlich Ransomware zu installieren.
• Ausnutzung von Software-Schwachstellen: Ransomware-Autoren nutzen Schwachstellen in Betriebssystemen, Anwendungen oder Netzwerkdiensten aus. Indem sie ungepatchte oder veraltete Software ins Visier nehmen, können sie sich unbefugten Zugriff verschaffen und die Ransomware-Payload verbreiten.

Es ist von entscheidender Bedeutung, die Sicherheitssoftware auf dem neuesten Stand zu halten, regelmäßig Software-Patches und -Updates anzuwenden, beim Öffnen von E-Mail-Anhängen oder beim Klicken auf verdächtige Links Vorsicht walten zu lassen und sichere, eindeutige Passwörter zu verwenden, um das Risiko, Opfer von Ransomware-Angriffen zu werden, zu minimieren.