Was ist ChocVM-Ransomware?

Kürzlich ist eine neue Ransomware-Variante namens ChocVM aufgetaucht, die mit der Makop-Familie in Zusammenhang steht. Diese Schadsoftware verschlüsselt Dateien, verändert Desktop-Hintergründe, modifiziert Dateinamen und hinterlässt eine eindeutige Lösegeldforderung in einer Datei namens „+README-WARNING+.txt“.

Dateiverschlüsselung und Umbenennung

ChocVM verwendet einen einzigartigen Ansatz zum Umbenennen von Dateien, indem eine Folge zufälliger Zeichen, die E-Mail-Adresse „xakep@dark-forum.ru“ und die Dateierweiterung „.chocolate“ angehängt werden. Beispielsweise wird eine Datei wie „1.jpg“ in „1.jpg.[2AF20FA3].[xakep@dark-forum.ru].chocolate“ umgewandelt.

Übersicht über die ChocVM-Lösegeldnotiz

Der von ChocVM hinterlassene Lösegeldschein stellt klar, dass die Dateien des Opfers verschlüsselt wurden, ohne die Dateistruktur zu verändern. Um wieder Zugriff auf ihre Dateien zu erhalten, müssen Opfer ein Lösegeld zahlen. Der Angreifer betont, dass es sich um eine geschäftliche Transaktion handele und er keine Rücksicht auf die Interessen des Opfers zeige. Ein besonderes Angebot besteht darin, zwei kleine Dateien mit einfachen Erweiterungen kostenlos zu entschlüsseln und Kontaktinformationen über die E-Mail-Adressen xakep@dark-forum.ru oder hackr@dark-forum.ru bereitzustellen.

Der Lösegeldschein lautet wie folgt:

::: Greetings ChocVM :::

Little FAQ:

.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc... not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

.4.
Q: How to contact with you?
A: You can write us to our mailboxes: xakep@dark-forum.ru or hackr@dark-forum.ru

.5.
F: Wie läuft der Entschlüsselungsprozess nach der Zahlung ab?
A: Nach der Zahlung senden wir Ihnen unser Scanner-Decoder-Programm und eine detaillierte Gebrauchsanweisung zu. Mit diesem Programm können Sie alle Ihre verschlüsselten Dateien entschlüsseln.

.6.
F: Wenn ich schlechte Leute wie Sie nicht bezahlen möchte?
A: Wenn Sie nicht mit unserem Service zusammenarbeiten, spielt das für uns keine Rolle. Sie verlieren jedoch Ihre Zeit und Daten, da nur wir den privaten Schlüssel haben. In der Praxis ist Zeit viel wertvoller als Geld.

:::IN ACHT NEHMEN:::
Versuchen Sie NICHT, verschlüsselte Dateien selbst zu ändern!
Wenn Sie versuchen, Software von Drittanbietern zur Wiederherstellung Ihrer Daten oder Antivirenlösungen zu verwenden, erstellen Sie bitte ein Backup aller verschlüsselten Dateien!
Jede Änderung der verschlüsselten Dateien kann zur Beschädigung des privaten Schlüssels und damit zum Verlust aller Daten führen.

Einzelheiten zur Lösegeldzahlung

Bei Zahlung verpflichtet sich der Angreifer, ein Entschlüsselungsprogramm zusammen mit detaillierten Anweisungen zur Dateientschlüsselung bereitzustellen. Der Hinweis warnt ausdrücklich vor dem Versuch einer unabhängigen Dateiwiederherstellung und behauptet, dass solche Aktionen den privaten Schlüssel beschädigen und zu irreversiblen Datenverlusten führen könnten.

Einblicke in Ransomware-Bedrohungen: Ein Überblick

Wenn Einzelpersonen Opfer von Ransomware-Angriffen werden, werden sie gezwungen, Cyberkriminelle für Entschlüsselungstools zu bezahlen. Zu den Alternativen gehören in der Regel die Online-Suche nach kostenlosen Entschlüsselungstools oder die Verwendung von Datensicherungen. Von der Zahlung von Lösegeldern wird jedoch dringend abgeraten, da Unsicherheiten hinsichtlich der Zuverlässigkeit von Cyberkriminellen bei der Bereitstellung versprochener Entschlüsselungstools bestehen.

Sofortmaßnahmen gegen Ransomware

Es ist von entscheidender Bedeutung, Ransomware schnell von kompromittierten Geräten zu entfernen, da die Malware weitere Verschlüsselungen initiieren und sich über lokale Netzwerke verbreiten kann, was zur Verschlüsselung von Dateien auf miteinander verbundenen Computern führt.

Ransomware-Landschaft

Ransomware-Angriffe können sich hinsichtlich der Zustellungsmethoden und Ziele unterscheiden, die ständige Forderung nach einer Zahlung als Gegenleistung für die Entschlüsselung von Daten, das Umbenennen von Dateien und die Vorlage eines Lösegeldscheins bleibt jedoch bestehen. Beispiele für andere Ransomware-Varianten sind BO Team, Cdmx und Tprc.

Ransomware-Infektionen verstehen: Ursachen und Prävention

Infektionsmethoden

Ransomware dringt häufig über betrügerische E-Mails mit schädlichen Anhängen oder Links in Systeme ein. Unvorsichtige Benutzer können versehentlich Downloads und Ausführungen starten, indem sie auf diese Links klicken oder Anhänge öffnen. Trojaner sind ein weiteres Tool, mit dem bösartige Payloads, einschließlich Ransomware, übermittelt werden. Bedrohungsakteure nutzen auch Kanäle wie P2P-Netzwerke, schädliche Werbung, Software-Schwachstellen, Raubkopien von Software und mehr aus.

Schutzmaßnahmen

Um sich vor Ransomware-Infektionen zu schützen, wird Benutzern empfohlen, regelmäßige Updates für das Betriebssystem und die installierten Apps zu installieren. Der Einsatz seriöser Antiviren- oder Anti-Malware-Software, Vorsicht bei E-Mails aus unbekannten Quellen, die Vermeidung riskanter Websites und das Unterlassen des Herunterladens von Dateien aus nicht vertrauenswürdigen Quellen sind wesentliche vorbeugende Maßnahmen.

Umgang mit einer ChocVM-Infektion

Wenn ein Computer bereits mit ChocVM infiziert ist, wird empfohlen, ein Anti-Malware-Programm zur automatischen Entfernung dieser Ransomware-Bedrohung zu verwenden.