Ganze Ransomware droht Datenlecks

Bei unserer Untersuchung neu eingereichter Malware-Beispiele stießen unsere Forscher auf ein Ransomware-Programm namens „Whole“. Wir haben festgestellt, dass es sich um die Keylock-Ransomware handelt. Diese Schadsoftware verschlüsselt Daten und verlangt Lösegeld für die Entschlüsselung.

In unseren Tests verschlüsselte die „Whole“-Ransomware Dateien und fügte ihren Dateinamen die Erweiterung „.whole“ hinzu. Beispielsweise würde eine Datei mit dem ursprünglichen Namen „1.jpg“ als „1.jpg.whole“ und „2.png“ als „2.png.whole“ angezeigt.

Sobald der Verschlüsselungsprozess abgeschlossen war, wurde das Desktop-Hintergrundbild geändert und eine Lösegeldforderung mit dem Titel „README-ID-[victim's_ID].txt“ erstellt. Aus dem Inhalt dieser Notiz geht hervor, dass diese Ransomware in erster Linie auf Unternehmen und nicht auf einzelne Benutzer abzielt.

Die auf dem „Whole“-Desktophintergrund angezeigte Nachricht weist das Opfer an, die zugehörige Textdatei („README-ID-[victim's_ID].txt“) zu lesen. Dieser Lösegeldschein erklärt, dass die Dateien des Opfers verschlüsselt wurden und versichert ihm, dass sein einzigartiger Entschlüsselungsschlüssel sicher auf den Servern der Angreifer gespeichert ist.

Die Wiederherstellung kann kostenlos getestet werden, indem ein paar verschlüsselte Dateien an die Cyberkriminellen gesendet werden (im Rahmen bestimmter Richtlinien). Wenn das Opfer nicht innerhalb von drei Tagen versucht, Kontakt zu den Angreifern aufzunehmen, können seine sensiblen geschäftsbezogenen Daten offengelegt oder verkauft werden.

Die Nachricht enthält auch Warnungen, die das Opfer darüber informieren, dass das Umbenennen oder Ändern der betroffenen Dateien sowie die Verwendung von Wiederherstellungstools oder Antivirensoftware von Drittanbietern dazu führen kann, dass die Daten unwiederbringlich werden.

Ganze Ransomware hinterlässt lange Notiz

Der vollständige Text der Whole-Lösegeldforderung lautet wie folgt:

IHRE DATEIEN SIND VERSCHLÜSSELT

Ihre Dateien wurden mit starken Verschlüsselungsalgorithmen verschlüsselt und modifiziert!
Machen Sie sich keine Sorgen, Ihr einzigartiger Verschlüsselungsschlüssel wird sicher auf unserem Server gespeichert und Ihre Daten können schnell und sicher entschlüsselt werden.

Wir können nachweisen, dass wir alle Ihre Daten entschlüsseln können. Bitte senden Sie uns einfach 3 nicht wichtige, kleine (~2 MB) verschlüsselte Dateien, die zufällig auf Ihrem Server gespeichert werden. Hängen Sie außerdem die von uns hinterlassene Datei README-ID-.txt in jedem Ordner an.
Wir entschlüsseln diese Dateien und senden sie Ihnen als Beweis zu. Bitte beachten Sie, dass Dateien zur kostenlosen Testentschlüsselung keine wertvollen Informationen enthalten sollten.

Wenn Sie nicht innerhalb von 72 Stunden einen Dialog mit uns aufnehmen, sind wir gezwungen, Ihre Dateien öffentlich zu veröffentlichen. Ihre Kunden und Partner werden über das Datenleck informiert.
Auf diese Weise wird Ihr Ruf ruiniert. Wenn Sie nicht reagieren, sind wir gezwungen, die wichtigsten Informationen wie Datenbanken und personenbezogene Daten an Interessenten zu verkaufen, um einen gewissen Gewinn zu erzielen.

Wenn Sie dieses Problem lösen möchten, fügen Sie in einem Brief diese Datei README-ID-.txt bei und schreiben Sie an ALLE dieser beiden E-Mail-Adressen:

pmmx@techmail.info
Wholekey@mailfence.com

WICHTIG!
Wir empfehlen Ihnen, sich direkt an uns zu wenden, um eine Überzahlung der Makler zu vermeiden.
Wir bitten Sie, Ihre Nachricht an ALLE unserer beiden E-Mail-Adressen zu senden, da Ihre E-Mail aus verschiedenen Gründen möglicherweise nicht zugestellt wird.
Unsere Nachricht wird möglicherweise als Spam erkannt. Überprüfen Sie daher unbedingt den Spam-Ordner.
Wenn wir Ihnen nicht innerhalb von 24 Stunden antworten, schreiben Sie uns von einer anderen E-Mail-Adresse aus.
Bitte verschwenden Sie keine Zeit, es würde Ihrem Unternehmen nur zusätzlichen Schaden zufügen.
Bitte benennen Sie die Dateien nicht um und versuchen Sie nicht, die Dateien selbst zu entschlüsseln. Wir können Ihnen nicht weiterhelfen, wenn Dateien geändert werden.
Wenn Sie versuchen, Software von Drittanbietern zur Wiederherstellung Ihrer Daten oder Antivirenlösungen zu verwenden, erstellen Sie bitte eine Sicherungskopie aller verschlüsselten Dateien.
Wenn Sie verschlüsselte Dateien vom aktuellen Computer löschen, können Sie diese möglicherweise nicht entschlüsseln.

Wie kann Ransomware in Ihr System gelangen?

Ransomware kann auf verschiedene Weise in Ihr System eindringen. Das Verständnis dieser Eintrittspunkte ist entscheidend, um Ihr System vor solchen Angriffen zu schützen. Auf folgenden Wegen kann Ransomware in Ihr System gelangen:

• E-Mail-Anhänge: Phishing-E-Mails sind eine weit verbreitete Methode zur Verbreitung von Ransomware. Cyberkriminelle versenden scheinbar legitime E-Mails mit infizierten Anhängen (z. B. PDFs, Word-Dokumenten oder ZIP-Dateien) oder Links zu bösartigen Websites. Wenn Benutzer diese Anhänge öffnen oder auf die Links klicken, wird die Ransomware heruntergeladen und auf ihren Systemen ausgeführt.
• Schädliche Links: Ransomware kann auch über irreführende oder bösartige Links in E-Mails, Instant Messages oder auf Websites verbreitet werden. Das Klicken auf diese Links kann zum Herunterladen und Ausführen von Ransomware führen.
• Malvertising: Cyberkriminelle nutzen möglicherweise bösartige Werbung (Malvertisement) auf legitimen Websites, um Ransomware zu verbreiten. Der bloße Besuch einer manipulierten Website mit diesen Anzeigen kann einen automatischen Download der Malware auslösen.
• Ausnutzen von Schwachstellen: Ransomware-Autoren können Software-Schwachstellen in Ihrem Betriebssystem oder Ihren Anwendungen ausnutzen. Wenn Ihr System nicht mit Sicherheitspatches auf dem neuesten Stand ist, ist es möglicherweise anfällig für Exploit-basierte Angriffe.
• Drive-by-Downloads: Ransomware kann durch „Drive-by-Downloads“ übertragen werden, bei denen Benutzer unwissentlich schädlichen Code herunterladen, während sie kompromittierte oder bösartige Websites besuchen. Diese Downloads können ohne jegliche Interaktion oder Zustimmung des Benutzers erfolgen.
• Remote Desktop Protocol (RDP)-Angriffe: Angreifer können schwache oder standardmäßige RDP-Anmeldeinformationen ausnutzen, um Zugriff auf Remote-Systeme zu erhalten. Sobald sie drin sind, können sie Ransomware installieren und Dateien verschlüsseln.
• Software-Downloads: Das Herunterladen von Software oder Dateien von nicht vertrauenswürdigen oder raubkopierten Quellen kann Ihr System der Gefahr von Ransomware aussetzen. Illegale Software oder gecrackte Versionen enthalten oft versteckte Schadsoftware.