DoctorHelp Ransomware basierend auf MedusaLocker

Unser Team hat DoctorHelp entdeckt – eine als Ransomware eingestufte Schadsoftware, die zur MedusaLocker-Familie gehört. Das Hauptziel von DoctorHelp ist die Verschlüsselung von Dateien.

Darüber hinaus generiert DoctorHelp eine Lösegeldforderung mit dem Titel „How_to_back_files.html“ und hängt den Dateinamen die Erweiterung „.doctorhelp“ an. Beispielsweise wird „1.jpg“ in „1.jpg.doctorhelp“ und „2.png“ in „2.png.doctorhelp“ usw. geändert. In der Lösegeldforderung wird ausdrücklich darauf hingewiesen, dass wichtige Dateien des Opfers verschlüsselt wurden. Die Cyberkriminellen versichern dem Opfer, dass die Dateien intakt bleiben, aber durch RSA- und AES-Verschlüsselung verändert wurden. In dem Hinweis wird dringend davon abgeraten, Dateien mit Software von Drittanbietern wiederherzustellen, da solche Bemühungen zu einer irreversiblen Beschädigung führen würden.

Die Bedrohungsakteure behaupten, dass sie streng vertrauliche und persönliche Daten erhalten haben, die derzeit auf einem privaten Server gespeichert sind. Angeblich soll dieser Server nach Zahlungseingang sofort vernichtet werden. Bei ausbleibender Zahlung droht die Bank mit der Offenlegung der erfassten Daten an die Öffentlichkeit oder potenzielle Käufer, was ein unmittelbares Risiko einer Offenlegung in der Öffentlichkeit darstellt.

Darüber hinaus schlagen die Angreifer eine Vereinbarung vor, bei der das Opfer zwei bis drei nicht unbedingt erforderliche Dateien zur kostenlosen Entschlüsselung senden kann, um zu demonstrieren, dass es in der Lage ist, Dateien gegen Bezahlung wiederherzustellen. Der Lösegeldschein enthält Kontaktdaten (E-Mail-Adressen „doctorhelperss@gmail.com“ und „helpersdoctor@outlook.com“) und empfiehlt dem Opfer, für die Kommunikation ein E-Mail-Konto auf protonmail.com einzurichten.

Es wird eine 72-Stunden-Frist festgelegt, verbunden mit der Warnung, dass die Nichtaufnahme des Kontakts innerhalb dieser Frist zu einer Erhöhung der Lösegeldforderung führt. Die Nachricht schließt mit einem Vorschlag, Tor-Chat für die laufende Kommunikation zu nutzen, und betont das Engagement der Kriminellen, den Kontakt während des gesamten Verhandlungsprozesses aufrechtzuerhalten.

Der Lösegeldschein von DoctorHelp verspricht die Entschlüsselung einiger Dateien

Der vollständige Text der DoctorHelp-Lösegeldforderung lautet wie folgt:

YOUR PERSONAL ID:

YOUR COMPANY NETWORK HAS BEEN PENETRATED
All your important files have been encrypted!

Your files are safe! Only modified. (RSA+AES)

ANY ATTEMPT TO RESTORE YOUR FILES WITH THIRD-PARTY SOFTWARE
WILL PERMANENTLY CORRUPT IT.
DO NOT MODIFY ENCRYPTED FILES.
DO NOT RENAME ENCRYPTED FILES.

Keine im Internet verfügbare Software kann Ihnen helfen. Wir sind die einzigen, die dazu in der Lage sind
Lösen Sie Ihr Problem.

Wir haben streng vertrauliche/persönliche Daten erhoben. Diese Daten werden aktuell auf gespeichert
ein privater Server. Dieser Server wird sofort nach Ihrer Zahlung zerstört.
Wenn Sie sich entscheiden, nicht zu zahlen, geben wir Ihre Daten an die Öffentlichkeit oder einen Weiterverkäufer weiter.
Sie können also davon ausgehen, dass Ihre Daten in naher Zukunft öffentlich verfügbar sein werden.

Wir streben nur nach Geld und unser Ziel ist es nicht, Ihren Ruf zu schädigen oder zu verhindern
Ihr Unternehmen vom Laufen.

Sie können uns 2-3 unwichtige Dateien senden und wir entschlüsseln sie kostenlos
um zu beweisen, dass wir Ihre Dateien zurückgeben können.

Kontaktieren Sie uns für den Preis und erhalten Sie eine Entschlüsselungssoftware.

Email:
doctorhelperss@gmail.com
helpersdoctor@outlook.com
Um mit uns Kontakt aufzunehmen, erstellen Sie ein neues kostenloses E-Mail-Konto auf der Website: protonmail.com
WENN SIE UNS NICHT INNERHALB VON 72 STUNDEN KONTAKTIEREN, IST DER PREIS HÖHER.

Tor-Chat, um immer in Kontakt zu bleiben:

Wie verbreiten Kriminelle Ransomware online?

Kriminelle nutzen verschiedene Methoden, um Ransomware online zu verbreiten, indem sie Schwachstellen ausnutzen und menschliches Verhalten ausnutzen. Hier sind einige gängige Taktiken, die Cyberkriminelle zur Verbreitung von Ransomware anwenden:

Phishing-E-Mails:
Cyberkriminelle nutzen häufig Phishing-E-Mails, um Ransomware zu verbreiten. Sie versenden E-Mails, die legitim erscheinen, oft vertrauenswürdige Entitäten oder Dienste imitieren und bösartige Anhänge oder Links enthalten. Das Klicken auf diese Anhänge oder Links kann den Download und die Ausführung von Ransomware auslösen.

Schädliche Links und Websites:
Kriminelle erstellen bösartige Websites oder schleusen bösartigen Code in legitime Websites ein. Benutzer können durch Phishing-E-Mails, manipulierte Anzeigen oder andere betrügerische Taktiken auf diese Websites geleitet werden. Der Besuch solcher Websites kann zum automatischen Herunterladen und Installieren von Ransomware führen.

Exploit-Kits:
Exploit-Kits sind Toolkits, die vorab geschriebenen Code enthalten, um Schwachstellen in Software auszunutzen. Cyberkriminelle nutzen diese Kits, um veraltete Software auf dem System eines Benutzers ins Visier zu nehmen. Wenn ein Benutzer eine kompromittierte Website besucht oder auf einen schädlichen Link klickt, identifiziert und nutzt das Exploit-Kit Schwachstellen aus, sodass die Ransomware übermittelt und ausgeführt werden kann.

Malvertising:
Bei Malvertising handelt es sich um die Platzierung von Schadcode in Online-Werbung. Wenn Benutzer auf diese Anzeigen klicken oder Websites besuchen, auf denen sie gehostet werden, kann der Schadcode Schwachstellen im Browser oder in Plugins des Benutzers ausnutzen, um Ransomware zu verbreiten.

Soziale Entwicklung:
Cyberkriminelle nutzen Social-Engineering-Techniken, um Benutzer dazu zu manipulieren, Maßnahmen zu ergreifen, die zu einer Ransomware-Infektion führen. Dies kann darin bestehen, Benutzer durch betrügerische Taktiken wie gefälschte Warnungen, Warnungen oder verlockende Angebote dazu zu verleiten, schädliche Dateien herunterzuladen und auszuführen oder auf Links zu klicken.