Ymir-Ransomware: Eine bedrohliche Bedrohung für Daten und Netzwerke

Was ist Ymir Ransomware?

Ymir Ransomware ist eine hochentwickelte Art von Ransomware, die Dateien auf infizierten Systemen verschlüsselt und dabei den kryptografischen Algorithmus ChaCha20 verwendet. Diese Form von Ransomware ist besonders gefährlich, da sie die betroffenen Dateien auf einzigartige Weise umbenennt und ihnen eine Erweiterung aus zufälligen Zeichen hinzufügt. So könnte beispielsweise eine Datei, die ursprünglich „document.pdf“ hieß, in „document.pdf.6C5oy2dVr6“ umbenannt werden, was bedeutet, dass sie ohne den Entschlüsselungsschlüssel nun nicht mehr zugänglich ist.

Nach dem Verschlüsselungsprozess hinterlässt die Ymir-Ransomware einen deutlichen Fußabdruck. Opfer finden in jedem kompromittierten Ordner eine Lösegeldforderung mit dem Titel „INCIDENT_REPORT.pdf“. Darüber hinaus zeigt Ymir vor dem Anmeldebildschirm eine Warnmeldung im Vollbildmodus an, die darauf hinweist, dass das Netzwerk gehackt, Daten verschlüsselt und vertrauliche Informationen gestohlen wurden.

Hier ist der vollständige Erpresserbrief:

#? What happened?
Your network has been compromised and attacked by hackers.
All files have been modified.
Sensitive information has been stolen and handed over to our
experts for analysis.

#? Why did this happen?
Your security system was weak, it allowed your company to be
hacked.

#? What are the possible consequences?
You won't be able to use your data, so the company is frozen. You
will lose money every day.
If you refuse to make a deal, your data will be published on the
internet, sold on darknet forums, shared with journalists and your
competitors.
You will suffer reputational damage, your stock will drop in value,
clients and sponsors will lose trust in you.
Also, if the incident becomes public, you will be noticed by law
enforcement agencies and then a long investigation with freezing
of your company will begin.
You'll get multiple fines in excess of the deal.

#? What do I get if I make a deal?
You get file recovery software. We'll remove the stolen data from our servers and provide proof.
You'll get an incident report and recommendations for protection.
You'll get a guarantee that our team will add you to our whitelist of
untouchable companies and we'll never come back to you again. We will not report the incident to anyone.

#? # Why are you doing this?
We're only interested in the money. We don't care about the rest. We also take pleasure in what we do.

#? How can I trust you?
You have no choice, either you lose everything or you trust us. We don't plan to deceive you. We operate in a public space, every
action we take is discussed.
If we defraud even 1 company, we will never be able to make a
good deal. We will definitely recover your files and we will definitely keep
everything confidential.
We are specialists with years of experience and we respect
ourselves and our reputation.
You'll see that we're a bargain when you contact us.

#? How do I proceed if I don't believe a word you say?
You can go to the recovery or the enforcers, but it will definitely
cost you more than dealing with us.
Recovery will buy our software with your token and sell it to you at
a 300% markup.
The enforcers will trample your company, talk to the lawyers, they
will tell you the consequences.

#? I'm the administrator of this network, what do I do?
Don't try to make a deal on your own, you won't have enough
salary for a few years.
Report the incident to your bosses. They'll find out anyway. We
have their contacts and we'll let them know in three days if no one
contacts us.
If you try to rebuild the network alone and hide the incident from
your bosses, you'll delay the inevitable. At some point, they'll hear
about it on the news and be furious that you denied them the
opportunity to save their company.

#? What do I do?
The first thing you should do is inform your bosses about the
incident.
You'll have to pay us to recover your files. Only we have the unique
token.
Don't try to use any third-party applications to recover your files,
they may be damaged irretrievably.
You need to contact us
You can send us 1-3 modified files and we will prove that we can
recover them. We will provide proof of the stolen data.

RecoverySupport@onionmail.org
To contact us, install qTOX messenger.
hxxps://github.com/qTox/qTox/releases/download/v1.17.6/setupqtox-x86_64-release.exe
Add our contact and we can make a deal.

Tox ID:
CF9AE1B27EAA4BF8C223735BEA15AAE23D5BA312B9D9061C805ABD99C373530DBDCC18B7C3BF

Funktionsweise der Ymir-Ransomware

Die Vollbildwarnung spielt eine zentrale Rolle in Ymirs Strategie, da sie die Folgen des Einbruchs hervorhebt und die Opfer davon abhält, eine Entschlüsselung mit externen Mitteln zu versuchen. Die Angreifer betonen, dass die Verwendung nicht autorisierter Entschlüsselungsmethoden zu irreparablen Dateischäden führen könnte. Diese einschüchternde Nachricht fordert die Opfer auf, die zuständigen Behörden in ihren Organisationen zu informieren, wodurch der Druck steigt, den Forderungen der Angreifer nachzukommen.

Der beigefügte Lösegeldbrief im PDF-Format unterstreicht diese Dringlichkeit. Er erklärt, dass die Zahlung des Lösegelds die notwendigen Entschlüsselungstools und die Zusicherungen, dass die gestohlenen Daten von den Servern der Angreifer gelöscht werden, mit sich bringt. Der Brief warnt, dass bei Nichtbefolgung die Daten online durchsickern, auf Darknet-Märkten verkauft oder an Wettbewerber weitergegeben werden könnten, was erhebliche finanzielle Verluste und Reputationsverluste zur Folge hätte.

Was die Ymir-Ransomware will

Ymir Ransomware verfolgt ein klares Motiv: finanziellen Gewinn. Die Angreifer verlangen eine Zahlung im Austausch für das Entschlüsselungstool und um die Veröffentlichung der gestohlenen Daten zu verhindern. Diese doppelte Bedrohungsstrategie setzt die Opfer nicht nur unter Druck, für die Wiederherstellung des Zugriffs auf ihre Dateien zu zahlen, sondern nutzt auch die Angst vor der Veröffentlichung öffentlicher Daten aus, was schwerwiegende Folgen für betroffene Organisationen haben könnte.

Um die Opfer von ihrer Glaubwürdigkeit zu überzeugen, bieten die Ransomware-Betreiber an, als Beweis bis zu drei Dateien zu entschlüsseln und Beweise für den Datendiebstahl vorzulegen. Diese Taktik schafft Vertrauen in die Behauptungen der Angreifer und bringt die Opfer dazu, zuzustimmen.

Die Mechanik hinter Ymirs Infiltration

Vielschichtige, koordinierte Operationen kennzeichnen Ymir-Angriffe. Die anfängliche Infiltration des Netzwerks erfolgt häufig über PowerShell-Befehle zur Fernsteuerung. Der Datendiebstahl geht normalerweise der Verschlüsselungsphase voraus, die häufig mithilfe der RustyStealer-Malware durchgeführt wird. Zusätzliche Tools wie Process Hacker und Advanced IP Scanner unterstützen Ymirs Netzwerkdurchquerung und Systemzugriff, während erweiterte Speicheroperationen die Umgehung der Erkennung erleichtern.

Bei diesen speicherbasierten Operationen wird Code schrittweise ausgeführt, um das Auslösen von Alarmen zu vermeiden. Hunderte von Funktionsaufrufen fügen bösartige Anweisungen in den Speicher ein, wodurch Ymirs Tarnung verbessert wird und herkömmliche Sicherheitsmaßnahmen umgangen werden können.

Ymirs Fähigkeiten zur Selbstvermehrung

Die Fähigkeit von Ymir, sich über lokale Netzwerke zu verbreiten, fügt eine weitere Komplexitätsebene hinzu. Diese Selbstverbreitung wird durch die Malware WinRM (Windows Remote Management) und SystemBC ermöglicht, die PowerShell-Befehle für eine nahtlose Ausführung nutzt. Solche Methoden erhöhen den potenziellen Schaden und erweitern die Reichweite von einem einzelnen kompromittierten System auf ein ganzes Netzwerk verbundener Geräte.

Die Herausforderungen der Entschlüsselung und Datenwiederherstellung

Das Entschlüsseln von mit Ymir verschlüsselten Dateien ist ohne die Mitwirkung der Angreifer oft unmöglich. Diese Tatsache unterstreicht die Macht, die Ransomware-Angreifer haben, sobald ein System kompromittiert ist. Selbst wenn sich die Opfer dazu entschließen, das Lösegeld zu zahlen, besteht keine Gewissheit, dass die versprochenen Entschlüsselungstools bereitgestellt oder die gestohlenen Daten sicher gelöscht werden. Cybersicherheitsexperten raten daher dringend davon ab, das Lösegeld zu zahlen, da dies kriminelle Aktivitäten aufrechterhält und die weitere Entwicklung von Ransomware finanziert.

Die einzige todsichere Methode, kompromittierte Dateien wiederherzustellen, sind bereits vorhandene, nicht betroffene Backups. Für Unternehmen, die sich von Ransomware-Vorfällen erholen möchten, ist es von entscheidender Bedeutung, sicherzustellen, dass diese Backups separat gespeichert werden – beispielsweise auf Offline-Geräten oder Remote-Servern.

Vorbeugende Maßnahmen und bewährte Vorgehensweisen

Angesichts des komplexen Ansatzes von Ymir ist die Verhinderung von Ransomware-Infektionen von entscheidender Bedeutung. Die meisten Ransomware-Programme, darunter auch Ymir, verbreiten sich über Phishing-E-Mails, Malvertising und bösartige Downloads, die als legitime Software getarnt sind. Benutzer sollten beim Umgang mit E-Mails aus unbekannten Quellen vorsichtig sein und es vermeiden, auf verdächtige Links oder Anhänge zu klicken. Das Herunterladen von Software ausschließlich aus verifizierten Quellen und die Sicherstellung, dass Programme über offizielle Kanäle auf dem neuesten Stand gehalten werden, kann das Risiko einer Ransomware-Infektion verringern.

Es wird empfohlen, Backups an mehreren sicheren Standorten aufzubewahren. Durch die Speicherung sauberer Datenkopien auf Remote-Servern oder Offline-Speichergeräten können Opfer Lösegeldzahlungen umgehen und ihre Dateien selbstständig wiederherstellen.

Abschließende Gedanken

Ymir Ransomware ist ein deutliches Beispiel für die sich ständig weiterentwickelnde Landschaft der Cyberbedrohungen. Die Kombination aus fortschrittlichen Verschlüsselungstechniken, Datenexfiltration und mehrstufigen Angriffsstrategien stellt Unternehmen vor erhebliche Herausforderungen. Wachsamkeit und die Einhaltung bewährter Verfahren zur Cybersicherheit bleiben die erste Verteidigungslinie zum Schutz wertvoller Daten und zur Wahrung der Netzwerkintegrität.