Lernen Sie ein weiteres Mitglied der Dharma-Familie kennen: Ztax Ransomware

Ransomware-Angriffe sind zu einer der schädlichsten Formen der Internetkriminalität geworden und richten sich gleichermaßen gegen Einzelpersonen und Organisationen. Ztax Ransomware ist Teil der berüchtigten Dharma-Ransomware-Familie . Während Ransomware normalerweise darauf abzielt, Opfer durch Verschlüsselung ihrer Daten zu erpressen, weist Ztax seine eigenen einzigartigen Merkmale auf, die es besonders besorgniserregend machen.

Was ist Ztax Ransomware?

Ztax Ransomware ist eine Datenverschlüsselungsbedrohung, die Opfer aus ihren Dateien aussperrt und für ihre Freigabe eine Zahlung verlangt. Diese Ransomware fügt, wie andere in der Dharma-Familie, verschlüsselten Dateien eine eigene Erweiterung hinzu. Infizierte Dateien werden mit einer eindeutigen Opfer-ID, einer vom Angreifer kontrollierten E-Mail-Adresse und der Erweiterung „.Ztax“ umbenannt. Beispielsweise würde eine Datei mit dem Namen „photo.jpg“ in „photo.jpg.id-12345.[taxz@cock.li].Ztax“ geändert, wodurch sie ohne Entschlüsselung unbrauchbar wird.

Sobald Ztax den Verschlüsselungsprozess abgeschlossen hat, hinterlässt es Lösegeldforderungen auf dem Computer des Opfers. Diese Forderungen erscheinen sowohl in Popup-Fenstern als auch in Textdateien namens „manual.txt“, die auf dem Desktop und in allen verschlüsselten Ordnern zu finden sind. Die Lösegeldforderung ist relativ kurz und fordert die Opfer auf, dem Angreifer eine E-Mail zu schicken, um weitere Schritte zur Wiederherstellung ihrer Daten zu erfahren.

Hier ist, was in der Lösegeldforderung steht:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: taxz@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:taxz@cyberfear.com

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Die Lösegeldforderungen und der Verschlüsselungsprozess

Wie viele andere verlangt auch Ztax Ransomware eine Zahlung in Bitcoin für die Entschlüsselung der Dateien. Den Opfern wird gesagt, sie könnten den Entschlüsselungsprozess testen, indem sie bis zu drei Dateien an den Angreifer senden. Dies gibt ihnen die Gewissheit, dass die Zahlung des Lösegelds funktionieren könnte. Die Angreifer warnen jedoch davor, Tools von Drittanbietern zu verwenden oder zu versuchen, die verschlüsselten Dateien zu ändern, da dies zu weiteren Schäden an den Daten führen könnte.

Ein bemerkenswertes Merkmal von Ztax und anderen Dharma-Ransomware-Varianten ist, dass sie kritische Systemdateien nicht verschlüsseln, was bedeutet, dass das Gerät auch nach dem Angriff betriebsbereit bleibt. Dies unterscheidet sie von einigen anderen Ransomware-Typen, die ein System vollständig außer Gefecht setzen können. Dies mindert jedoch nicht die Auswirkungen des Angriffs, da der Verlust des Zugriffs auf persönliche oder geschäftliche Dateien verheerend sein kann.

So verbreitet sich Ztax Ransomware und bleibt bestehen

Ztax Ransomware verbreitet sich wie andere Dharma-Varianten häufig über Schwachstellen in Remote Desktop Protocol (RDP)-Diensten. Angreifer verwenden häufig Brute-Force-Methoden, um Zugriff auf schlecht gesicherte Systeme zu erhalten. Sobald sie sich im System befinden, deaktivieren sie Firewalls und starten den Ransomware-Angriff. Phishing und Social Engineering sind ebenfalls gängige Infektionsmethoden, wobei bösartige Anhänge oder Links in E-Mails ein primärer Übermittlungsmechanismus sind.

Nach der Infektion eines Geräts stellt Ztax seine Persistenz sicher, indem es sich an bestimmte Stellen im System kopiert, beispielsweise in den Pfad %LOCALAPPDATA%. Es registriert sich auch bei bestimmten Run-Schlüsseln, sodass es nach jedem Neustart automatisch gestartet werden kann. Diese Persistenz stellt sicher, dass die Ransomware das System weiterhin beeinflusst, bis sie entfernt wird.

Was die Ztax-Ransomware will

Wie bei jeder Ransomware ist das Hauptziel von Ztax Ransomware finanzieller Gewinn. Die Zahlung erfolgt in Bitcoin, einer Kryptowährung, die von Cyberkriminellen aufgrund ihrer relativen Anonymität bevorzugt wird. Die Zahlung des Lösegelds garantiert jedoch keine Wiederherstellung der Dateien. In vielen Fällen erhalten die Opfer nie die Entschlüsselungsschlüssel oder die Software, selbst wenn sie den Forderungen der Angreifer nachkommen.

In der Lösegeldforderung von Ztax wird auf die Risiken hingewiesen, die mit dem Versuch verbunden sind, Dateien mithilfe von Drittanbieter-Tools wiederherzustellen oder externe Dienste um Hilfe zu bitten. Dies ist eine häufig eingesetzte Einschüchterungstaktik, um Opfer zur Zahlung zu zwingen, obwohl die Wiederherstellung alles andere als sicher ist.

Prävention und Wiederherstellung nach Ztax Ransomware

Sobald Ztax Ransomware ein System infiziert und Dateien verschlüsselt hat, können die kompromittierten Daten nicht mehr wiederhergestellt werden, wenn man sie entfernt. Die einzige zuverlässige Möglichkeit, Dateien wiederherzustellen, besteht in der Verwendung von Backups, die vor der Infektion erstellt und an einem sicheren, nicht verbundenen Ort gespeichert wurden. Leider löscht Ztax auch Volume Shadow Copies – eine automatische Backup-Funktion in einigen Systemen –, sodass diese als potenzielle Wiederherstellungsmethode nicht mehr infrage kommt.

Um solche Angriffe zu verhindern, sollten Benutzer und Organisationen strenge Sicherheitspraktiken anwenden. Dazu gehört das Aufbewahren von Backups wichtiger Daten an mehreren sicheren Standorten, beispielsweise auf Remote-Servern und externen Speichergeräten. Darüber hinaus können eine robuste Verwaltung der Anmeldeinformationen und die regelmäßige Aktualisierung der Sicherheitssoftware dazu beitragen, das Risiko zu verringern, Opfer von Ransomware zu werden.

Lehren aus dem Ztax-Ransomware-Angriff

Ztax Ransomware ist ein weiterer Hinweis darauf, wie wichtig proaktive Maßnahmen zur Cybersicherheit sind. Die Fähigkeit, Dateien zu verschlüsseln, ohne das System funktionsunfähig zu machen, lässt die Ransomware vielleicht weniger schwerwiegend erscheinen, aber der Schaden, den sie anrichtet, kann langanhaltend und finanziell lähmend sein. Die Ransomware-Familie Dharma entwickelt sich ständig weiter und nutzt anfällige Systeme und ahnungslose Benutzer aus.

Der Schlüssel zum Schutz vor Ransomware wie Ztax ist für jeden Wachsamkeit. Das Vermeiden verdächtiger Downloads, die Implementierung starker Kennwortrichtlinien und die Sicherung von RDP-Diensten können das Risiko eines Angriffs erheblich verringern. Und am wichtigsten ist, dass aktuelle Backups vorhanden sind, damit selbst bei einem Ransomware-Angriff eine Wiederherstellung möglich ist, ohne dass Cyberkriminelle dafür bezahlen müssen.