Lorenz Ransomware Gang persigue empresas en diferentes industrias
Las bandas de ransomware de alto perfil han ido cambiando gradualmente su enfoque de los usuarios habituales a las empresas y empresas. La última amenaza de ransomware que ha adoptado este enfoque es Lorenz Ransomware y, desafortunadamente, este bloqueador de archivos parece imposible de descifrar. Al igual que los piratas informáticos DarkSide Ransomware, estos también amenazan con liberar archivos robados en línea si la víctima no acepta pagar una tarifa de rescate. Según los investigadores, el mecanismo de cifrado de Lorenz Ransomware parece ser similar al utilizado por ThunderCrypt Ransomware, otro bloqueador de archivos que apareció por primera vez hace más de dos años. La banda DarkSide Ransomware atrajo recientemente la atención internacional debido a su ataque contra Colonial Pipeline con sede en EE. UU .
Desafortunadamente, los operadores de Lorenz Ransomware parecen tomarse en serio sus amenazas de publicar los datos de la víctima en línea; ya han configurado un sitio web para publicar las filtraciones de datos, y los datos de más de diez víctimas se enumeran allí.
No está claro cómo Lorenz Ransomware distribuye el malware y se asegura de que llegue a la víctima prevista. Hasta ahora, esta banda de ransomware utiliza dos técnicas de extorsión para obtener dinero de su víctima: ofrecen vender un descifrador y amenazan con filtrar sus archivos en línea. Sin embargo, los delincuentes involucrados en esta campaña también han decidido adoptar un tercer método de extorsión: afirman vender el acceso a las redes comprometidas. Esta es otra razón por la que la víctima podría querer considerar pagar la tarifa de rescate.
Al parecer, los delincuentes están ejecutando Lorenz Ransomware manualmente en el sistema comprometido; esto podría significar que primero confían en otras vulnerabilidades o malware para obtener acceso a la red. El comando que usan para ejecutar Lorenz Ransomware también contiene información de configuración sobre la carga útil: nombre del proceso, nombre de la nota de rescate, sufijo que se usará para marcar archivos bloqueados, etc. Una de las víctimas tenía sus archivos marcados con '.Lorenz.xz40 ' extensión de archivo.
Una vez que se completa el ataque, la nota de rescate 'HELP_SECURITY_EVENT.html' se coloca en el sistema. Incluye una página de pago personalizada basada en TOR para cada víctima: una de las páginas solicitó alrededor de 14 Bitcoin, o alrededor de $ 700,000. Hasta ahora, ninguna víctima ha optado por pagar la tarifa de rescate, por lo que es cuestión de tiempo ver si los operadores de Lorenz Ransomware terminarán liberando datos públicamente o vendiendo el acceso a las redes comprometidas.
