Proton (Xorist) Ransomware wird Opfersysteme verschlüsseln

Bei unserer routinemäßigen Bewertung neuer Dateibeispiele stieß unser Forschungsteam auf die Ransomware-Variante Proton. Diese Schadsoftware gehört zur Xorist-Ransomware-Familie. Schädliche Programme, die in diese Kategorie fallen, verschlüsseln Daten und verlangen eine Zahlung für den Entschlüsselungsprozess.

Als wir die Ransomware Proton (Xorist) auf unserem Versuchssystem testeten, führte sie eine Verschlüsselung der Dateien durch und fügte ihren ursprünglichen Namen die Erweiterung „.PrOToN“ hinzu. Zur Veranschaulichung wurde eine Datei mit dem Namen „1.jpg“ in „1.jpg.PrOToN“ umgewandelt, während „2.png“ in „2.png.PrOToN“ geändert wurde und so weiter für alle gesperrten Dateien.

Anschließend veränderte das Programm den Desktop-Hintergrund und generierte Lösegeldforderungen in Form eines Popup-Fensters, eines Desktop-Hintergrundbilds und eines Textdokuments mit der Bezeichnung „HOW TO DECRYPT FILES.txt“. Diese Lösegeldscheine teilen dem Opfer mit, dass seine Dateien verschlüsselt wurden und dass die einzige Möglichkeit zur Wiederherstellung darin besteht, eine Zahlung an die Angreifer zu leisten. Der Lösegeldbetrag wird mit 0,045 BTC (Bitcoin-Kryptowährung) angegeben, was auf Basis der aktuellen Wechselkurse etwa 1300 USD entspricht (beachten Sie, dass die Wechselkurse ständigen Schwankungen unterliegen). Sobald das Lösegeld bezahlt ist, versichern die Notizen dem Opfer, dass die notwendigen Entschlüsselungsschlüssel und Software zur Verfügung gestellt werden.

Proton-Lösegeldschein fordert 1300 US-Dollar in Bitcoin

Der vollständige Text der Proton-Lösegeldforderung lautet wie folgt:

Hallo

Alle Ihre Dateien wurden verschlüsselt
Wenn du sie entschlüsseln möchtest, musst du mir 0,045 Bitcoin zahlen.

Stellen Sie sicher, dass Sie die 0,045 Bitcoins an diese Adresse senden:
(alphanumerische Zeichenfolge)

Wenn Sie kein Bitcoin besitzen, können Sie es ganz einfach auf diesen Websites kaufen:
www.coinmama.com
www.bitpanda.com
www.localbitcoins.com
www.paxful.com

Eine größere Liste finden Sie hier:
hxxps://bitcoin.org/en/exchanges

Kontaktieren Sie mich nach dem Absenden des Bitcoins unter dieser E-Mail-Adresse:
protonis2023@tuta.io mit diesem Betreff: -
Nachdem die Zahlung bestätigt wurde,
Sie erhalten Entschlüsselungs- und Entschlüsselungsschlüssel!

Sie erhalten außerdem Informationen zur Abwehr eines weiteren Ransomware-Angriffs
und das Wichtigste ist Ihre Sicherheitslücke, durch die wir eingetreten sind.

Aufmerksamkeit!
Probieren Sie keine anderen günstigeren Entschlüsselungsoptionen aus, denn das kann niemand und nichts
entschlüsseln Sie Ihre Dateien ohne die für Ihren Server generierten Schlüssel,
Sie werden für immer Zeit, Geld und Ihre Dateien verlieren!

Wie kann Ransomware wie Proton in Ihr System eindringen?

Ransomware wie Proton kann auf verschiedene Weise in Ihr System eindringen und dabei häufig Schwachstellen oder menschliches Handeln ausnutzen. Hier sind einige häufige Wege, über die Ransomware in Ihr System eindringen kann:

• Phishing-E-Mails: Cyberkriminelle versenden oft überzeugende E-Mails mit bösartigen Anhängen oder Links. Das Klicken auf diese Links oder das Öffnen infizierter Anhänge kann die Installation der Ransomware auslösen.
• Schädliche Links: Das Klicken auf infizierte Links von Websites, sozialen Medien oder Instant-Messaging-Plattformen kann zu Ransomware-Downloads oder Drive-by-Angriffen führen.
• Malvertising: Schädliche Werbung auf legitimen Websites kann beim Anklicken zu Drive-by-Downloads von Ransomware führen.
• Exploit-Kits: Hierbei handelt es sich um Toolkits, die auf Schwachstellen in Software wie Ihrem Betriebssystem, Browser oder Plugins abzielen. Der Besuch einer manipulierten Website kann dazu führen, dass ein Exploit-Kit Ransomware verbreitet.
• Infizierte Software: Das Herunterladen und Installieren von Software aus nicht vertrauenswürdigen Quellen kann zur unbeabsichtigten Installation von Ransomware führen.
• Schwachstellen im Remote Desktop Protocol (RDP): Wenn RDP nicht ordnungsgemäß gesichert ist, können Angreifer Schwachstellen ausnutzen, um Fernzugriff auf Ihr System zu erhalten und Ransomware zu installieren.
• Software-Schwachstellen: Veraltete Software kann Sicherheitslücken aufweisen, die Angreifer ausnutzen können, um Ransomware zu installieren.
• Schädliche Makros: Das Öffnen infizierter Microsoft Office-Dokumente mit aktivierten Makros kann zur Ausführung von Ransomware führen.