EXISC Ransomware zielt auf Konzerne und Unternehmen ab

Bei unserer Untersuchung neuer Einsendungen auf der VirusTotal-Website sind wir auf ein Ransomware-Programm namens EXISC gestoßen. Sein Hauptzweck besteht darin, Daten zu verschlüsseln und für die Entschlüsselung eine Zahlung zu verlangen.

Als wir ein Beispiel von EXISC auf unserem Testsystem ausführten, stellten wir fest, dass es Dateien erfolgreich verschlüsselte und eine „.EXISC“-Erweiterung an ihre ursprünglichen Dateinamen anhängte. Beispielsweise würde eine Datei mit dem Namen „1.jpg“ in „1.jpg.EXISC“ umgewandelt, während „2.png“ in „2.png.EXISC“ umgewandelt würde und so weiter.

Nach dem Verschlüsselungsprozess erstellte EXISC eine Lösegeldforderung mit dem Titel „Bitte kontaktieren Sie uns, um die Datei Restore.txt“ wiederherzustellen. Aus dem Inhalt dieser Nachricht ging hervor, dass die Ransomware in erster Linie auf große Organisationen und nicht auf einzelne Heimanwender abzielt.

Der Lösegeldschein vermittelt dem Opfer, dass das Netzwerk seines Unternehmens kompromittiert wurde. Das Ausmaß des Schadens lässt sich wie folgt umreißen: Die Dateien wurden verschlüsselt und sensible oder vertrauliche Daten wurden gestohlen.

Dem Vermerk zufolge muss das Opfer eine Lösegeldzahlung leisten, um wieder Zugriff auf seine Dateien zu erhalten und zu verhindern, dass die exfiltrierten Inhalte nach außen dringen. Obwohl die genaue Höhe des Lösegelds nicht genannt wird, wird ausdrücklich erwähnt, dass die Zahlung entweder in den Kryptowährungen Bitcoin oder Monero erfolgen muss.

Darüber hinaus wird in dem Hinweis darauf hingewiesen, dass eine bestimmte Anzahl von Dateien für eine Testentschlüsselung gesendet werden kann. Dies soll dem Opfer als Beweis dafür dienen, dass eine Datenwiederherstellung tatsächlich möglich ist.

EXISC-Lösegeldschein erwartet Kontakt über Tox

Der vollständige Text der EXISC-Lösegeldforderung lautet wie folgt:

Hallo, der Computer Ihres Unternehmens wird von mir verschlüsselt und die Datenbank und Daten werden heruntergeladen. Wenn Sie nicht möchten, dass ich diese Materialien offenlege, müssen Sie mir ein Lösegeld zahlen. Nach Erhalt des Lösegelds lösche ich alle heruntergeladenen Dateien und helfe Ihnen bei der Entschlüsselung Ihres Computers. Andernfalls werden wir diese Materialien offenlegen und Ihrem Unternehmen drohen beispiellose Konsequenzen.

Wir arbeiten nur für Geld, zerstören Ihr Netzwerk nicht und sind sehr ehrlich. Nach Erhalt des Lösegelds stellen wir Ihnen außerdem Informationen über die Schwachstelle Ihres Systems zur Verfügung, um Ihnen bei der Behebung der Schwachstelle zu helfen und so erneute Angriffe zu vermeiden.

Wenn Sie Zweifel an unserer Fähigkeit haben, Dateien zu entschlüsseln, können Sie mir einige verschlüsselte Dateien senden und ich werde sie zum Beweis entschlüsseln.

Bitte zahlen Sie das Lösegeld in Bitcoin oder Monero.

Bitte nutzen Sie TOX, um mich zu kontaktieren oder mir eine E-Mail zu senden.

E-Mail:HonestEcoZ@dnmx.org

TOX-ID: (alphanumerische Zeichenfolge)
TOX-Download:hxxps://tox.chat/download.html

Was sind die häufigsten Infektionsvektoren für Ransomware wie EXISC?

Ransomware wie EXISC nutzt verschiedene Infektionsvektoren, um Systeme und Netzwerke zu infiltrieren. Im Folgenden sind einige der am häufigsten von Ransomware genutzten Infektionsvektoren aufgeführt:

• Phishing-E-Mails: Phishing-E-Mails sind nach wie vor eine weit verbreitete Methode zur Verbreitung von Ransomware. Cyberkriminelle erstellen überzeugende E-Mails, die legitim erscheinen, und geben sich oft als vertrauenswürdige Entitäten oder Einzelpersonen aus. Diese E-Mails enthalten schädliche Anhänge oder eingebettete Links, die beim Anklicken oder Öffnen den Ransomware-Infektionsprozess auslösen.
• Schädliche Downloads und Anhänge: Ransomware kann versehentlich von bösartigen Websites oder über infizierte Dateianhänge heruntergeladen werden. Dies kann auftreten, wenn Benutzer manipulierte Websites besuchen oder E-Mail-Anhänge öffnen, die ausführbare Dateien, Makros oder skriptbasierte Nutzlasten enthalten.
• Exploit-Kits: Exploit-Kits sind bösartige Tools, die Software-Schwachstellen in Webbrowsern, Plugins oder Betriebssystemen ausnutzen. Durch die Ausnutzung dieser Schwachstellen kann Ransomware unbemerkt auf das System eines Opfers übertragen werden, wenn dieses eine kompromittierte Website besucht oder auf eine bösartige Werbung klickt.
• RDP-Angriffe (Remote Desktop Protocol): Ransomware-Betreiber zielen häufig auf Systeme mit exponierten oder schwach gesicherten Remote Desktop Protocol-Verbindungen ab. Sie nutzen Brute-Force-Techniken, um sich unbefugten Zugriff zu verschaffen und die Ransomware zu installieren.
• Software-Schwachstellen: Ransomware kann ungepatchte oder veraltete Software-Schwachstellen ausnutzen, um Systeme zu infiltrieren. Dazu gehören Schwachstellen in Betriebssystemen, Anwendungen oder Netzwerkdiensten, die es der Ransomware ermöglichen, sich unbefugten Zugriff zu verschaffen und ihre Nutzlast auszuführen.
• Malvertising: Schädliche Werbung oder Malvertisement kann auf seriösen Websites oder Werbenetzwerken gefunden werden. Diese Anzeigen enthalten versteckte Skripte, die Benutzer auf bösartige Websites umleiten, auf denen Ransomware gehostet wird, oder automatische Downloads der Ransomware-Payload auslösen.
• Drive-by-Downloads: Drive-by-Downloads treten auf, wenn Ransomware automatisch ohne Zustimmung oder Interaktion des Benutzers heruntergeladen wird, typischerweise von kompromittierten Websites. Diese Websites enthalten bösartigen Code, der Schwachstellen im Webbrowser oder in Plugins des Benutzers ausnutzt und so die unbemerkte Verbreitung der Ransomware ermöglicht.