Hgjzitlxe Ransomware zielt auf Unternehmen ab

Bei unserer Analyse von Malware-Beispielen haben wir Hgjzitlxe entdeckt, eine Art Ransomware der Snatch-Familie. Unsere Untersuchung ergab, dass Hgjzitlxe Dateien verschlüsselt und den ursprünglichen Dateinamen eine eigene Erweiterung („.hgjzitlxe“) hinzufügt. Um die Opfer noch mehr einzuschüchtern, wird ein Lösegeldschein mit dem Namen „HOW TO RESTORE YOUR HGJZITLXE FILES.TXT“ erstellt.

Als Beispiel für sein Dateiänderungsverhalten ersetzt Hgjzitlxe „1.jpg“ durch „1.jpg.hgjzitlxe“ und „2.png“ durch „2.png.hgjzitlxe“ und so weiter.

Der Lösegeldschein informiert die Opfer darüber, dass ihr Netzwerk einem Penetrationstest unterzogen wurde, der zur Verschlüsselung ihrer Dateien führte. Die Angreifer geben an, über 100 GB an Daten heruntergeladen zu haben, darunter persönliche Informationen, Marketingdaten, vertrauliche Dokumente, Buchhaltungsunterlagen, SQL-Datenbanken und Kopien von E-Mail-Archiven.

Den Opfern wird dringend davon abgeraten, zu versuchen, die Dateien selbst zu entschlüsseln oder Tools von Drittanbietern zu verwenden, da in der Notiz betont wird, dass nur ihr spezifischer Entschlüsseler die Dateien effektiv wiederherstellen kann. Um einer möglichen Täuschung durch Vermittler vorzubeugen, wird in der Mitteilung eine direkte Kommunikation mit den Bedrohungsakteuren empfohlen.

Um Beweise zu sammeln, mögliche Lösungen zu erkunden und den Entschlüsseler anzufordern, werden Opfer angewiesen, die Cyberkriminellen über die bereitgestellten E-Mail-Adressen zu kontaktieren: candice.wood@post.cz oder candice.wood@swisscows.email. Eine alternative Kommunikationsmethode wird über den Tox-Chat vorgeschlagen.

Der Lösegeldschein endet mit der Warnung, dass die Cyberkriminellen die verschlüsselten Dateien veröffentlichen werden, wenn innerhalb von drei Tagen keine Antwort eingeht.

Die Lösegeldforderung von Hgjzitlxe weist darauf hin, dass Hacker es auf Unternehmen abgesehen haben

Der vollständige Text der Lösegeldforderung lautet wie folgt:

DAS GESAMTE NETZWERK IST VERSCHLÜSSELT IHR UNTERNEHMEN VERLIERT GELD!

Sehr geehrtes Management! Wir informieren Sie darüber, dass Ihr Netzwerk einem Penetrationstest unterzogen wurde, bei dem wir verschlüsselt haben
Ihre Dateien und haben mehr als 100 GB Ihrer Daten heruntergeladen

persönliche Daten
Marketingdaten
Vertrauliche Dokumente
Buchhaltung
SQL-Datenbanken
Kopie einiger Postfächer

Wichtig! Versuchen Sie nicht, die Dateien selbst zu entschlüsseln oder Dienstprogramme von Drittanbietern zu verwenden.
Das einzige Programm, das sie entschlüsseln kann, ist unser Decryptor, den Sie bei den unten aufgeführten Kontakten anfordern können.
Jedes andere Programm beschädigt Dateien nur so sehr, dass eine Wiederherstellung unmöglich wird.
Schreiben Sie uns direkt, ohne auf Vermittler zurückzugreifen, sie werden Sie täuschen.

Sie können alle notwendigen Beweise einholen, mit uns mögliche Lösungen für dieses Problem besprechen und einen Entschlüsseler anfordern
indem Sie die untenstehenden Kontakte nutzen.
Bitte beachten Sie, dass wir uns das Recht vorbehalten, Dateien der Öffentlichkeit zu veröffentlichen, wenn wir innerhalb von 3 Tagen keine Antwort von Ihnen erhalten.

Kontaktiere uns:
candice.wood@post.cz oder candice.wood@swisscows.email

Zusätzliche Möglichkeiten zur Kommunikation im Tox-Chat
Gift-ID:
(alphanumerische Zeichenfolge)

Wie kann Ransomware wie Hgjzitlxe Ihr System infiltrieren?

Ransomware wie Hgjzitlxe kann über verschiedene Methoden in Ihr System eindringen. Hier sind einige häufige Wege, auf denen Ransomware in Ihr System gelangen kann:

• Phishing-E-Mails: Eine der am weitesten verbreiteten Methoden sind Phishing-E-Mails. Möglicherweise erhalten Sie eine E-Mail, die legitim erscheint, aber einen schädlichen Anhang oder einen Link enthält, der beim Anklicken die Ransomware auf Ihr System herunterlädt.
• Bösartige Downloads: Ransomware kann auch unwissentlich heruntergeladen werden, wenn Sie manipulierte Websites besuchen oder auf bösartige Werbung klicken. Diese Downloads können als legitime Software oder Dateien getarnt sein und Sie dazu verleiten, sie auszuführen und Ihr System zu infizieren.
• Ausnutzen von Schwachstellen: Ransomware kann Schwachstellen in Ihrem Betriebssystem, Ihrer Software oder Ihren Anwendungen ausnutzen. Cyberkriminelle suchen aktiv nach Sicherheitslücken, die sie ausnutzen können, um sich unbefugten Zugriff zu verschaffen und Ransomware auf Ihrem System zu installieren.
• Schädliche Websites und Malvertising: Der Besuch kompromittierter oder bösartiger Websites kann zum automatischen Herunterladen und Installieren von Ransomware ohne Ihr Wissen führen. Ebenso kann Malvertising (böswillige Werbung) Ransomware verbreiten, indem sie in Online-Anzeigen eingebettet wird.
• RDP-Angriffe (Remote Desktop Protocol): Wenn Sie das Remote Desktop Protocol aktiviert und schlecht konfiguriert haben, können Angreifer schwache oder Standard-Anmeldeinformationen ausnutzen, um Remotezugriff auf Ihr System zu erhalten und Ransomware einzusetzen.
• Drive-by-Downloads: Ransomware kann unbemerkt heruntergeladen und installiert werden, wenn Sie kompromittierte Websites besuchen, auf denen bösartiger Code eingeschleust wurde. Dies geschieht ohne jegliche Interaktion oder Wissen des Benutzers.
• Ausnutzung von Netzwerkschwachstellen: Ransomware kann sich innerhalb eines Netzwerks verbreiten, indem sie Schwachstellen in Netzwerkprotokollen oder nicht gepatchten Systemen ausnutzt. Sobald es sich in einem Netzwerk befindet, kann es sich schnell verbreiten und andere Geräte infizieren.