Meduza (MedusaLocker) Ransomware

Meduza, eine Art Ransomware aus der MedusaLocker-Familie, wurde bei unserer Analyse von Malware-Beispielen identifiziert. Seine Hauptfunktion besteht darin, Dateien zu verschlüsseln, und es fügt eine bestimmte Erweiterung (z. B. „.meduza24“) an die Dateinamen an und generiert gleichzeitig eine Lösegeldforderung mit dem Namen „How_to_back_files.html“.

Zur Veranschaulichung: Wenn Meduza Dateien verschlüsselt, benennt es sie wie folgt um: „1.jpg“ wird zu „1.jpg.meduza24“, „2.png“ ändert sich in „2.png.meduza24“ und so weiter.

Der Lösegeldschein informiert das Opfer darüber, dass seine wichtigen Dateien mit RSA- und AES-Verschlüsselungsmethoden verschlüsselt wurden. Von Versuchen, diese Dateien mit Software von Drittanbietern wiederherzustellen, wird dringend abgeraten, da dies zu einer dauerhaften Beschädigung führen könnte. Von einer Änderung oder Umbenennung der verschlüsselten Dateien wird ebenfalls abgeraten.

Laut Lösegeldschein kann keine online verfügbare Software bei der Entschlüsselung helfen und die einzige Lösung liegt bei den Angreifern. Sie geben an, streng vertrauliche und persönliche Daten gesammelt, auf einem privaten Server gespeichert und nach Zahlungseingang gelöscht zu haben. Eine Nichtzahlung hätte zur Folge, dass die Daten veröffentlicht oder verkauft würden.

In der Notiz wird betont, dass es den Angreifern ausschließlich um finanziellen Gewinn geht und sie nicht die Absicht haben, den Ruf oder den Geschäftsbetrieb des Empfängers zu schädigen. Um ihre Fähigkeit zum Entschlüsseln von Dateien zu demonstrieren, bieten sie auf Anfrage an, zwei bis drei weniger wichtige Dateien kostenlos zu entschlüsseln.

Kontaktinformationen für die Aushandlung des Lösegelds und den Erhalt der Entschlüsselungssoftware werden über zwei E-Mail-Adressen bereitgestellt (ithelp01@securitymy.name und ithelp01@yousheltered.com). In der Mitteilung wird außerdem empfohlen, zur Kontaktaufnahme ein neues, kostenloses E-Mail-Konto auf protonmail.com einzurichten.

Nach Ablauf der 72-Stunden-Frist erhöht sich die Lösegeldsumme, wenn das Opfer den Angreifer nicht kontaktiert. Darüber hinaus gibt es einen Verweis auf den Tor-Chat zur laufenden Kommunikation.

Meduza-Lösegeldschein in voller Länge

Der vollständige Text der Meduza-Lösegeldforderung lautet wie folgt:

IHRE PERSÖNLICHE ID:

Das Netzwerk Ihres Unternehmens wurde unterwandert
Alle Ihre wichtigen Dateien wurden verschlüsselt!

Ihre Dateien sind sicher! Nur geändert. (RSA+AES)

JEGLICHER VERSUCH, IHRE DATEIEN MIT SOFTWARE VON DRITTANBIETERN WIEDERHERZUSTELLEN
WIRD ES DAUERHAFT BESCHÄDIGEN.
ÄNDERN SIE VERSCHLÜSSELTE DATEIEN NICHT.
VERSCHLÜSSELTE DATEIEN NICHT UMBENENNEN.

Keine im Internet verfügbare Software kann Ihnen helfen. Wir sind die einzigen, die dazu in der Lage sind
Lösen Sie Ihr Problem.

Wir haben streng vertrauliche/persönliche Daten erhoben. Diese Daten werden aktuell auf gespeichert
ein privater Server. Dieser Server wird sofort nach Ihrer Zahlung zerstört.
Wenn Sie sich entscheiden, nicht zu zahlen, geben wir Ihre Daten an die Öffentlichkeit oder einen Weiterverkäufer weiter.
Sie können also davon ausgehen, dass Ihre Daten in naher Zukunft öffentlich verfügbar sein werden.

Wir streben nur nach Geld und unser Ziel ist es nicht, Ihren Ruf zu schädigen oder zu verhindern
Ihr Unternehmen vom Laufen.

Sie können uns 2-3 unwichtige Dateien senden und wir entschlüsseln sie kostenlos
um zu beweisen, dass wir Ihre Dateien zurückgeben können.

Kontaktieren Sie uns für den Preis und erhalten Sie eine Entschlüsselungssoftware.

Email:
ithelp01@securitymy.name
ithelp01@yousheltered.com
Um mit uns Kontakt aufzunehmen, erstellen Sie ein neues kostenloses E-Mail-Konto auf der Website: protonmail.com
WENN SIE UNS NICHT INNERHALB VON 72 STUNDEN KONTAKTIEREN, IST DER PREIS HÖHER.

Tor-Chat, um immer in Kontakt zu bleiben:

Wie kann Ransomware Ihren Computer infizieren?

Ransomware kann Ihren Computer auf unterschiedliche Weise infizieren und nutzt häufig Social-Engineering-Taktiken, um Benutzer dazu zu verleiten, die Infektion auszulösen. Hier sind einige häufige Möglichkeiten, wie Ransomware Ihren Computer infizieren kann:

• Schädliche E-Mail-Anhänge: Eine der häufigsten Methoden sind Phishing-E-Mails. Angreifer versenden E-Mails, die legitim erscheinen und möglicherweise Anhänge wie PDFs oder Office-Dokumente mit eingebettetem Schadcode enthalten. Wenn Sie den Anhang öffnen, wird die Ransomware ausgeführt.
• Schädliche Links: Phishing-E-Mails können auch Links zu schädlichen Websites enthalten. Das Klicken auf diese Links kann zu Drive-by-Downloads führen, bei denen die Ransomware ohne Ihr Wissen automatisch heruntergeladen und ausgeführt wird.
• Gefälschte Software-Updates: Angreifer können gefälschte Software-Update-Benachrichtigungen oder Pop-ups erstellen, die legitime Updates für Ihr Betriebssystem oder Ihre Software imitieren. Wenn Sie diese gefälschten Updates herunterladen und installieren, installieren Sie möglicherweise unwissentlich Ransomware.
• Infizierte Software: Manchmal kompromittieren Angreifer legitime Software-Installationsprogramme und schleusen Ransomware in sie ein. Wenn Sie ein scheinbar sicheres Programm herunterladen und installieren, installieren Sie versehentlich Ransomware.
• Malvertising: Bei böswilliger Werbung oder Malvertising platzieren Cyberkriminelle infizierte Anzeigen auf legitimen Websites. Wenn Sie auf diese Anzeigen klicken, werden Sie möglicherweise zu Websites weitergeleitet, die Ransomware verbreiten.
• RDP-Angriffe (Remote Desktop Protocol): Wenn Ihr RDP nicht ordnungsgemäß gesichert ist, können Angreifer Schwachstellen ausnutzen, um Fernzugriff auf Ihren Computer zu erhalten. Sobald sie drinnen sind, können sie Ransomware installieren.
• Ausnutzung von Schwachstellen: Ransomware kann Software-Schwachstellen in Ihrem Betriebssystem oder Ihren Anwendungen ausnutzen. Wenn Sie Ihre Software mit den neuesten Sicherheitspatches auf dem neuesten Stand halten, können Sie sich vor dieser Methode schützen.
• Social Engineering: Angreifer können sich als vertrauenswürdige Instanzen wie den technischen Support oder Kollegen ausgeben, um Sie dazu zu verleiten, Dateien herunterzuladen und auszuführen, die Ransomware enthalten.