Keylock Ransomware utiliza una larga nota de rescate

Nuestros investigadores identificaron Keylock como un tipo de programa ransomware durante un examen periódico de los envíos de nuevos archivos. El ransomware funciona cifrando archivos y luego exigiendo un pago por descifrarlos.

En nuestro sistema de prueba, Keylock cifró archivos y agregó una extensión ".keylock" a sus nombres de archivo. Por ejemplo, un archivo originalmente llamado "1.jpg" se convirtió en "1.jpg.keylock", "2.png" se convirtió en "2.png.keylock", y así sucesivamente para todos los archivos afectados.

Una vez finalizado el proceso de cifrado, se generó una nota de rescate con el título "README-id-[nombre de usuario].txt". Keylock también alteró el fondo de pantalla del escritorio.

El fondo de pantalla proporcionado por Keylock guía a la víctima hasta el archivo de texto. La nota de rescate en este archivo explica que los archivos inaccesibles han sido cifrados y sugiere que se han tomado los datos de la víctima.

Para recuperar los datos, la víctima debe obtener la clave de descifrado única en poder de los atacantes. Para obtener las herramientas de descifrado es necesario pagar un rescate no especificado en criptomonedas Bitcoin. La víctima tiene 72 horas para contactar con los ciberdelincuentes; De no hacerlo, los datos robados de la empresa quedarán expuestos o vendidos.

Antes de realizar cualquier pago, la víctima tiene la opción de probar el proceso de descifrado enviando hasta tres archivos cifrados a los atacantes. Estos archivos no deben exceder los 2 MB de tamaño y no deben contener información valiosa.

El mensaje también advierte contra cambiar el nombre, modificar o eliminar los archivos cifrados, intentar descifrarlos manualmente o utilizar software de recuperación o herramientas antivirus de terceros, ya que estas acciones podrían provocar una pérdida permanente de datos.

La nota de rescate de Keylock amenaza con filtrarse 72 horas después del ataque

El texto completo de la nota de rescate de Keylock dice lo siguiente:

TUS ARCHIVOS ESTÁN ENCRIPTADOS

¡Sus archivos han sido cifrados con potentes algoritmos de cifrado y modificados y ahora tienen la extensión '.keylock'!
La estructura del archivo no resultó dañada. No se preocupe, su clave de cifrado única se almacena de forma segura en nuestro servidor y sus datos se pueden descifrar de forma rápida y segura.
Le garantizamos que puede recuperar todos sus datos fácilmente.
Le damos instrucciones completas. Y ayudarle hasta que el proceso de descifrado finalice por completo.

Podemos demostrar que podemos descifrar todos sus datos. Por favor, envíenos 3 archivos cifrados pequeños (~2 MB) no importantes, que se almacenan aleatoriamente en su servidor. Adjunte también el archivo README-id.txt que dejamos en cada carpeta.
Descifraremos estos archivos y se los enviaremos como prueba. Tenga en cuenta que los archivos para el descifrado de prueba gratuito no deben contener información valiosa.

Si no inicia un diálogo con nosotros en 72 horas, nos veremos obligados a publicar sus archivos en el dominio público. Sus clientes y socios serán informados sobre la filtración de datos.
De esta manera, tu reputación quedará arruinada. Si no reacciona, nos veremos obligados a vender la información más importante, como bases de datos y datos personales, a las partes interesadas para generar algún beneficio.
Es sólo un negocio.
No nos preocupamos en absoluto por usted y sus ofertas, excepto por obtener beneficios.
Si no hacemos nuestro trabajo y nuestras responsabilidades, nadie cooperará con nosotros. No es de nuestro interés.

Si desea descifrar sus archivos, deberá pagar en Bitcoins.
Si desea resolver esta situación, adjunte en carta este archivo README-id.txt y escriba a TODAS estas 2 direcciones de correo electrónico:

llavero@onionmail.org
keybranch@mailfence.com

También puedes enviarnos un mensaje por Telegram: hxxps://t.me/key_chain

¡IMPORTANTE!
Le recomendamos que se comunique con nosotros directamente para evitar pagar de más a los agentes. Sus datos están cifrados y solo NOSOTROS tenemos la clave de descifrado. Para descifrar sus datos necesita sólo 1 hora, después del pago, no más.
Le solicitamos que envíe su mensaje a TODAS nuestras 2 direcciones de correo electrónico y a Telegram, porque por diversos motivos es posible que su correo electrónico no se entregue.
Nuestro mensaje puede ser reconocido como spam, así que asegúrese de revisar la carpeta de spam.
Si no le respondemos dentro de las 24 horas, escríbanos desde otra dirección de correo electrónico.
Por favor, no pierda el tiempo, solo resultará en daños adicionales para su empresa.
No cambie el nombre ni intente descifrar los archivos usted mismo. No podremos ayudarle si se modifican los archivos.
Si intenta utilizar algún software de terceros para restaurar sus datos o soluciones antivirus, haga una copia de seguridad de todos los archivos cifrados.
Si elimina algún archivo cifrado de la computadora actual, es posible que no pueda descifrarlo.

¿Por qué los actores del ransomware utilizan amenazas de fuga de datos?

Los actores de ransomware utilizan amenazas de fuga de datos por varias razones:

• Mayor apalancamiento: amenazar con filtrar datos confidenciales brinda a los operadores de ransomware una mayor influencia sobre sus víctimas. Añade una capa adicional de presión al hacer que la víctima sienta que no sólo sus archivos están cifrados y son inaccesibles, sino que su información privada y potencialmente dañina también podría quedar expuesta al público.
• Pagos de rescate más altos: es más probable que las víctimas paguen un monto de rescate más alto cuando creen que los datos robados son confidenciales, confidenciales o valiosos. El miedo a sufrir daños a la reputación, consecuencias legales o pérdidas financieras puede llevar a las víctimas a cumplir con las demandas de rescate.
• Daño a la reputación: las filtraciones de datos pueden dañar gravemente la reputación de una organización. Si se expone información confidencial o privada, se puede erosionar la confianza entre clientes, socios y partes interesadas. Las empresas suelen querer evitar la fuga de datos a toda costa para proteger su imagen.
• Preocupaciones legales y de cumplimiento: las amenazas de fuga de datos pueden crear importantes problemas legales y de cumplimiento para las organizaciones. Dependiendo de la naturaleza de los datos robados, las organizaciones pueden estar sujetas a multas regulatorias y acciones legales. Pagar el rescate puede parecer una forma de evitar estas posibles consecuencias.
• Avergonzar públicamente: algunos grupos de ransomware utilizan amenazas de fuga de datos como táctica para avergonzar públicamente a sus víctimas. Pueden filtrar una parte de los datos robados o proporcionar pruebas de la violación, lo que puede generar atención negativa de los medios y vergüenza pública para la organización víctima.
• Presión para pagar rápidamente: la amenaza de filtración de datos a menudo viene acompañada de plazos ajustados, lo que obliga a las víctimas a tomar decisiones rápidas. Esta urgencia puede llevar a pagos de rescate apresurados para evitar la exposición de datos.