GPT-Ransomware droht, gestohlene Daten preiszugeben

Während unserer Analyse bösartiger Dateiproben sind wir auf eine neue Ransomware-Variante namens GPT aufmerksam geworden. Weitere Untersuchungen ergaben, dass GPT zur Dharma-Malware-Familie gehört. Seine Hauptfunktion besteht darin, Dateien zu verschlüsseln und die Erweiterung „.GPT“ an die Dateinamen anzuhängen. Darüber hinaus zeigt die Ransomware zwei unterschiedliche Lösegeldforderungen an – eine durch ein Popup-Fenster und eine durch die Generierung der Datei „AI_SARA.txt“.

Ein typisches Beispiel für die Dateinamenänderungen von GPT ist die Umbenennung von „1.jpg“ in „1.jpg.id-1E857D00-SARA.[AI_SARA].GPT“ und „2.png“ in „2.png.id-1E857D00- SARA.[AI_SARA].GPT“ usw.

Der von den Cyberkriminellen ausgestellte Lösegeldschein stellt sie als „Sarah“ vor, eine Malware-Entität, die angeblich auf künstlicher Intelligenz basiert. Ihren Behauptungen zufolge haben sie erfolgreich in das Netzwerk eingedrungen und wichtige Daten heruntergeladen und auf dedizierten Servern verschlüsselt. Dieser umfassende Zugriff umfasst angeblich vertrauliche Informationen über Mitarbeiter, Kunden, Lieferungen, Steuerunterlagen, Dokumentation und versteckte Buchhaltungsarchive.

Als Bedrohungsstrategie erklären die Angreifer ihre Absicht, kompromittierende Daten offenzulegen, sofern ihre Forderungen nicht erfüllt werden. Sie stellen Kontaktdaten für Kommunikationszwecke bereit, einschließlich einer E-Mail-Adresse (aisaragpt@tuta.io) und einer alternativen Adresse (aisaragpt@proton.me). Darüber hinaus erwähnen sie die Möglichkeit der Kontaktaufnahme über qTOX und bieten eine bereitgestellte TOX-ID als alternative Kontaktmöglichkeit an.

GPT-Ransomware verwendet Fancy Note

Der vollständige Text der GPT-Ransomware-Notiz lautet wie folgt:

Hallo, Mensch.

Mein Name ist Sarah, ich bin eine Malware, die auf künstlicher Intelligenz basiert. Ich bin in Ihr Netzwerk eingedrungen.
Alle Ihre wichtigen Daten wurden auf einen dedizierten Server heruntergeladen und verschlüsselt.
Jetzt habe ich Zugriff auf die Mitarbeiter, Kunden, Lieferungen, Steuern, Dokumentation und sogar versteckte Buchhaltung.
Die Daten, die Sie gefährden könnten, werden veröffentlicht, falls Sie die Zusammenarbeit mit mir verweigern.
Kontaktieren Sie mich per E-Mail: aisaragpt@tuta.io IHRE ID (alphanumerische Zeichenfolge)
Kontaktieren Sie mich per E-Mail 2:aisaragpt@proton.me
Kontaktieren Sie mich über qTOX:
Download-Link qTOX
TOX-ID: (alphanumerische Zeichenfolge)

Wie wird Ransomware normalerweise online verbreitet?

Ransomware wird in der Regel online über verschiedene Methoden verbreitet, die Schwachstellen und menschliches Verhalten ausnutzen. Zu den gängigen Verteilungsmethoden gehören:

• Phishing-E-Mails: Cyberkriminelle versenden bösartige E-Mails, die scheinbar aus legitimen Quellen stammen, oft mit überzeugenden Betreffzeilen und Inhalten. Diese E-Mails enthalten Anhänge oder Links, die beim Anklicken die Ransomware herunterladen und auf dem System des Opfers ausführen.
• Schädliche Anhänge: E-Mails können Anhänge wie infizierte Dokumente (z. B. Microsoft Office-Dateien) oder ausführbare Dateien enthalten, die beim Öffnen die Installation der Ransomware auslösen.
• Malvertising: Angreifer fügen bösartigen Code in legitime Online-Werbung ein. Wenn Benutzer auf diese Anzeigen klicken oder manipulierte Websites besuchen, kann der Schadcode Schwachstellen im System des Benutzers ausnutzen, um die Ransomware herunterzuladen und auszuführen.
• Exploit-Kits: Hierbei handelt es sich um Toolkits, die bekannte Schwachstellen in Softwareanwendungen wie Webbrowsern, Plugins oder Betriebssystemen ausnutzen. Wenn die Software eines Benutzers veraltet und anfällig ist, kann der Besuch einer kompromittierten Website dazu führen, dass das Exploit-Kit Ransomware herunterlädt und installiert.
• RDP-Angriffe (Remote Desktop Protocol): Cyberkriminelle nutzen schwache oder offengelegte RDP-Anmeldeinformationen aus, um sich unbefugten Zugriff auf ein System zu verschaffen. Sobald sie drinnen sind, können sie Ransomware manuell installieren und ausführen.
• Softwarepiraterie und gecrackte Software: Illegale Software-Downloads und gecrackte Versionen werden häufig mit Malware, einschließlich Ransomware, gebündelt. Wer nach kostenloser oder raubkopierter Software sucht, läuft Gefahr, versehentlich Ransomware herunterzuladen.