Keylock-Ransomware verwendet eine lange Lösegeldforderung

Unsere Forscher identifizierten Keylock bei einer regelmäßigen Untersuchung neuer Dateieinsendungen als eine Art Ransomware-Programm. Ransomware funktioniert, indem sie Dateien verschlüsselt und dann eine Zahlung für deren Entschlüsselung verlangt.

Auf unserem Testsystem verschlüsselte Keylock Dateien und fügte ihren Dateinamen die Erweiterung „.keylock“ hinzu. Beispielsweise wurde eine Datei mit dem ursprünglichen Namen „1.jpg“ zu „1.jpg.keylock“, aus „2.png“ wurde „2.png.keylock“ usw. für alle betroffenen Dateien.

Sobald der Verschlüsselungsprozess abgeschlossen war, wurde eine Lösegeldforderung mit dem Titel „README-id-[Benutzername].txt“ erstellt. Keylock hat auch das Desktop-Hintergrundbild geändert.

Das von Keylock bereitgestellte Hintergrundbild führt das Opfer zur Textdatei. Der Lösegeldschein in dieser Datei erklärt, dass die unzugänglichen Dateien verschlüsselt wurden und deutet darauf hin, dass die Daten des Opfers gestohlen wurden.

Um die Daten wiederherzustellen, muss das Opfer den einzigartigen Entschlüsselungsschlüssel erhalten, der sich im Besitz der Angreifer befindet. Um die Entschlüsselungstools zu erhalten, ist die Zahlung eines nicht näher bezeichneten Lösegelds in der Kryptowährung Bitcoin erforderlich. Das Opfer hat 72 Stunden Zeit, die Cyberkriminellen zu kontaktieren; Geschieht dies nicht, werden die gestohlenen Unternehmensdaten offengelegt oder verkauft.

Vor der Zahlung hat das Opfer die Möglichkeit, den Entschlüsselungsprozess zu testen, indem es bis zu drei verschlüsselte Dateien an die Angreifer sendet. Diese Dateien sollten eine Größe von 2 MB nicht überschreiten und keine wertvollen Informationen enthalten.

Die Nachricht warnt außerdem davor, die verschlüsselten Dateien umzubenennen, zu ändern oder zu löschen, eine manuelle Entschlüsselung zu versuchen oder Wiederherstellungssoftware oder Antiviren-Tools von Drittanbietern zu verwenden, da diese Aktionen zu dauerhaftem Datenverlust führen könnten.

Keylock-Lösegeldschein droht 72 Stunden nach dem Angriff durchgesickert

Der vollständige Text der Keylock-Lösegeldforderung lautet wie folgt:

IHRE DATEIEN SIND VERSCHLÜSSELT

Ihre Dateien wurden mit starken Verschlüsselungsalgorithmen verschlüsselt und geändert und haben jetzt die Erweiterung „.keylock“!
Die Dateistruktur wurde nicht beschädigt. Machen Sie sich keine Sorgen, Ihr einzigartiger Verschlüsselungsschlüssel wird sicher auf unserem Server gespeichert und Ihre Daten können schnell und sicher entschlüsselt werden.
Wir garantieren, dass Sie alle Ihre Daten problemlos wiederherstellen können.
Wir geben Ihnen umfassende Anweisungen. Und helfen Ihnen, bis der Entschlüsselungsprozess vollständig abgeschlossen ist.

Wir können nachweisen, dass wir alle Ihre Daten entschlüsseln können. Bitte senden Sie uns einfach 3 nicht wichtige, kleine (~2 MB) verschlüsselte Dateien, die zufällig auf Ihrem Server gespeichert werden. Hängen Sie außerdem in jedem Ordner Ihre von uns hinterlassene README-id.txt an.
Wir entschlüsseln diese Dateien und senden sie Ihnen als Beweis zu. Bitte beachten Sie, dass Dateien zur kostenlosen Testentschlüsselung keine wertvollen Informationen enthalten sollten.

Wenn Sie nicht innerhalb von 72 Stunden einen Dialog mit uns aufnehmen, sind wir gezwungen, Ihre Dateien öffentlich zu veröffentlichen. Ihre Kunden und Partner werden über das Datenleck informiert.
Auf diese Weise wird Ihr Ruf ruiniert. Wenn Sie nicht reagieren, sind wir gezwungen, die wichtigsten Informationen wie Datenbanken und personenbezogene Daten an Interessenten zu verkaufen, um einen gewissen Gewinn zu erzielen.
Es ist nur ein Geschäft.
Wir kümmern uns absolut nicht um Sie und Ihre Angebote, außer um die Erzielung von Vorteilen.
Wenn wir unserer Arbeit und unseren Verpflichtungen nicht nachkommen, wird niemand mit uns kooperieren. Es ist nicht in unserem Interesse.

Wenn Sie Ihre Dateien entschlüsseln möchten, müssen Sie in Bitcoins bezahlen.
Wenn Sie dieses Problem lösen möchten, fügen Sie als Brief die Datei README-id.txt bei und schreiben Sie an ALLE dieser beiden E-Mail-Adressen:

keychain@onionmail.org
keybranch@mailfence.com

Sie können uns auch eine Nachricht per Telegram senden: hxxps://t.me/key_chain

WICHTIG!
Wir empfehlen Ihnen, sich direkt an uns zu wenden, um eine Überzahlung der Makler zu vermeiden. Ihre Daten werden verschlüsselt und nur WIR haben den Entschlüsselungsschlüssel. Zum Entschlüsseln Ihrer Daten benötigen Sie lediglich 1 Stunde, nach der Bezahlung höchstens.
Wir bitten Sie, Ihre Nachricht an ALLE unserer 2 E-Mail-Adressen und an Telegram zu senden, da Ihre E-Mail aus verschiedenen Gründen möglicherweise nicht zugestellt wird.
Unsere Nachricht wird möglicherweise als Spam erkannt. Überprüfen Sie daher unbedingt den Spam-Ordner.
Wenn wir Ihnen nicht innerhalb von 24 Stunden antworten, schreiben Sie uns von einer anderen E-Mail-Adresse aus.
Bitte verschwenden Sie keine Zeit, es würde Ihrem Unternehmen nur zusätzlichen Schaden zufügen.
Bitte benennen Sie die Dateien nicht um und versuchen Sie nicht, die Dateien selbst zu entschlüsseln. Wir können Ihnen nicht weiterhelfen, wenn Dateien geändert werden.
Wenn Sie versuchen, Software von Drittanbietern zur Wiederherstellung Ihrer Daten oder Antivirenlösungen zu verwenden, erstellen Sie bitte eine Sicherungskopie aller verschlüsselten Dateien.
Wenn Sie verschlüsselte Dateien vom aktuellen Computer löschen, können Sie diese möglicherweise nicht entschlüsseln.

Warum nutzen Ransomware-Akteure Bedrohungen durch Datenlecks?

Ransomware-Akteure nutzen Bedrohungen durch Datenlecks aus mehreren Gründen:

• Erhöhter Einfluss: Durch die Drohung, sensible Daten preiszugeben, erhöhen Ransomware-Betreiber ihren Einfluss auf ihre Opfer. Dies erhöht den Druck zusätzlich, da das Opfer nicht nur das Gefühl hat, dass seine Dateien verschlüsselt und unzugänglich sind, sondern dass seine privaten und potenziell schädlichen Informationen auch der Öffentlichkeit zugänglich gemacht werden könnten.
• Höhere Lösegeldzahlungen: Opfer zahlen eher einen höheren Lösegeldbetrag, wenn sie glauben, dass die gestohlenen Daten sensibel, vertraulich oder wertvoll sind. Die Angst vor Reputationsschäden, rechtlichen Konsequenzen oder finanziellen Verlusten kann Opfer dazu veranlassen, den Lösegeldforderungen nachzukommen.
• Reputationsschaden: Datenlecks können den Ruf eines Unternehmens ernsthaft schädigen. Wenn sensible oder private Informationen offengelegt werden, kann dies das Vertrauen zwischen Kunden, Partnern und Stakeholdern untergraben. Unternehmen wollen Datenlecks oft um jeden Preis verhindern, um ihr Image zu schützen.
• Rechtliche und Compliance-Bedenken: Bedrohungen durch Datenlecks können zu erheblichen rechtlichen und Compliance-Problemen für Unternehmen führen. Abhängig von der Art der gestohlenen Daten können Unternehmen mit Bußgeldern und rechtlichen Schritten rechnen. Die Zahlung des Lösegelds scheint eine Möglichkeit zu sein, diese möglichen Konsequenzen zu vermeiden.
• Public Shaming: Einige Ransomware-Gruppen nutzen Bedrohungen durch Datenlecks als Taktik, um ihre Opfer öffentlich zu beschämen. Sie können einen Teil der gestohlenen Daten preisgeben oder Beweise für den Verstoß liefern, was zu negativer Medienaufmerksamkeit und öffentlicher Verlegenheit für die Opferorganisation führen kann.
• Druck, schnell zu zahlen: Die Gefahr von Datenlecks geht oft mit einer knappen Frist einher, die die Opfer zu schnellen Entscheidungen zwingt. Diese Dringlichkeit kann zu übereilten Lösegeldzahlungen führen, um die Offenlegung von Daten zu verhindern.