Xrp Ransomware verschlüsselt die Laufwerke der Opfer

Bei der Untersuchung neuer Malware-Beispiele sind wir auf eine Ransomware-Variante namens Xrp gestoßen, die zur GlobeImposter-Familie gehört. Das Hauptziel von Xrp besteht darin, Dateien zu verschlüsseln, indem eine E-Mail-Adresse und die Erweiterung „.xrp“ an Dateinamen angehängt werden. Darüber hinaus enthält es eine Lösegeldforderung („Read_For_Restore_File.html“).

Beispielsweise ändert Xrp Dateinamen wie „1.jpg“ in „1.jpg.[a.wyper@bejants.com].xrp“ und „2.png“ in „2.png.[a.wyper@bejants.com]. com].xrp“ usw.

Der Lösegeldschein informiert die Opfer darüber, dass ihre Dateien mit einem robusten RSA-2048-Algorithmus verschlüsselt wurden. Es wird behauptet, dass eine Dateiwiederherstellung ohne einen geheimen Schlüssel im Besitz der Angreifer unmöglich sei.

Um ihre Daten wiederherzustellen, werden Opfer angewiesen, ein E-Mail-Konto entweder bei protonmail.com oder Cock.li zu erstellen. Der Hinweis warnt davor, eine Standard-E-Mail-Adresse zu verwenden, da diese möglicherweise blockiert wird. Anschließend werden die Opfer angewiesen, von der neu eingerichteten Adresse eine E-Mail mit ihrem Ausweis an a.wyper@bejants.com zu senden.

Die Angreifer verpflichten sich, mit weiteren Anweisungen zur Entschlüsselung der Dateien zu antworten. Wenn innerhalb von 48 Stunden keine Antwort erfolgt, wird eine alternative E-Mail-Adresse, a.wyper@worldtravelnotebook.com, bereitgestellt.

Xrp-Lösegeldschein fordert Opfer auf, eine neue E-Mail-Adresse anzugeben

Der vollständige Text der Xrp-Lösegeldforderung lautet wie folgt:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Ihre persönliche ID:

PS
Es liegt in Ihrem Interesse, so schnell wie möglich zu antworten, um die Wiederherstellung Ihrer Dateien sicherzustellen, da wir Ihre Entschlüsselungsschlüssel nicht über einen längeren Zeitraum auf unserem Server speichern.
Überprüfen Sie den Ordner „Spam“, wenn Sie auf eine E-Mail von uns warten.
Wenn wir länger als 48 Stunden nicht auf Ihre Nachricht antworten, schreiben Sie an die Backup-E-Mail: a.wyper@worldtravelnotebook.com

F: Keine Antwort erhalten?
A: Überprüfen Sie den SPAM-Ordner.
F: Mein Spam-Ordner ist leer. Was soll ich tun?
A: Registrieren Sie Ihr E-Mail-Postfach bei protonmail.com oder cock.li und führen Sie die oben genannten Schritte aus.

Wie kann Ransomware Ihr System infizieren?

Ransomware kann ein System auf verschiedene Weise infizieren, und Angreifer nutzen oft ausgefeilte Techniken, um Schwachstellen auszunutzen. Hier sind gängige Methoden, mit denen Ransomware Ihr System infizieren kann:

Phishing-E-Mails: Eine der am weitesten verbreiteten Methoden sind Phishing-E-Mails. Angreifer versenden E-Mails mit schädlichen Anhängen oder Links. Sobald der Benutzer den Anhang öffnet oder auf den Link klickt, wird die Ransomware heruntergeladen und auf dem System ausgeführt.

Schädliche Websites: Der Besuch kompromittierter oder bösartiger Websites kann Ihr System der Gefahr von Ransomware aussetzen. Es kann zu Drive-by-Downloads kommen, bei denen Malware ohne Wissen oder Zustimmung des Benutzers automatisch heruntergeladen und installiert wird.

Malvertising: Angreifer nutzen bösartige Werbung (Malvertising), um Ransomware zu verbreiten. Auf seriösen Websites kann es sein, dass sie unwissentlich bösartige Werbung anzeigen, und das Klicken auf diese Werbung kann zum Herunterladen von Ransomware führen.

Ausnutzung von Software-Schwachstellen: Ransomware kann Schwachstellen in Betriebssystemen, Software oder Anwendungen ausnutzen. Wenn Ihr System nicht regelmäßig mit Sicherheitspatches aktualisiert wird, wird es anfälliger für diese Angriffe.

RDP-Angriffe (Remote Desktop Protocol): Cyberkriminelle versuchen möglicherweise, sich über schlecht gesicherte Remote Desktop Protocol-Verbindungen unbefugten Zugriff auf ein System zu verschaffen. Sobald sie drinnen sind, können sie Ransomware einsetzen.

Social Engineering: Angreifer können Social-Engineering-Techniken nutzen, um Benutzer dazu zu verleiten, schädliche Skripte auszuführen oder infizierte Dateien herunterzuladen. Dazu kann gehören, dass Benutzer dazu verleitet werden, unnötige Berechtigungen zu erteilen oder scheinbar harmlose Anwendungen auszuführen.

Watering-Hole-Angriffe: Bei dieser Art von Angriff kompromittieren Cyberkriminelle Websites, die von der Zielgruppe häufig besucht werden. Wenn Benutzer diese Websites besuchen, laden sie unwissentlich Malware, einschließlich Ransomware, herunter.

Infizierte Software-Installationsprogramme: Schädliche Software-Installationsprogramme, die oft als legitime Anwendungen oder Updates getarnt werden, können bei ihrer Ausführung Ransomware übertragen.