OlSaveLock Ransomware est une nouvelle variante de MedusaLocker

Lors d'une analyse de routine de nouveaux fichiers malveillants, notre équipe de chercheurs a découvert le rançongiciel OlSaveLock. Ce logiciel malveillant fonctionne en cryptant les données et en exigeant une rançon en échange du décryptage. Notamment, OlSaveLock fait partie de la célèbre famille de rançongiciels MedusaLocker.

Dans notre environnement de test, OlSaveLock a effectivement chiffré les fichiers et ajouté une extension ".olsavelock31" distincte à leurs noms de fichiers d'origine. Par exemple, un fichier nommé "1.jpg" apparaîtrait comme "1.jpg.olsavelock31", tandis que "2.png" deviendrait "2.png.olsavelock31", et ainsi de suite. Il est important de noter que le nombre spécifique dans l'extension peut varier en fonction de la variante du ransomware. De plus, OlSaveLock a déposé une note de rançon nommée "How_to_back_files.html" sur le bureau.

Le contenu de la note de rançon indique clairement qu'OlSaveLock cible principalement les grandes organisations plutôt que les particuliers. Selon le message, le réseau d'entreprise de la victime a été compromis. L'étendue des dommages est décrite comme le cryptage de fichiers cruciaux à l'aide d'algorithmes cryptographiques RSA et AES, ainsi que l'extraction non autorisée de données sensibles et personnelles.

La note indique que le paiement de la rançon est essentiel pour décrypter les fichiers concernés et empêcher l'exposition ou la vente des informations volées. Avant d'effectuer le paiement, la victime a la possibilité de tester le processus de décryptage sur trois fichiers qui ne contiennent pas de données précieuses.

Bien que le montant précis de la rançon ne soit pas précisé dans la note, il est sous-entendu que la somme augmentera si la victime ne parvient pas à établir le contact avec les agresseurs dans les 72 heures. De plus, la victime est explicitement avertie que toute tentative de renommer ou de modifier les fichiers cryptés, ainsi que l'utilisation d'outils de décryptage tiers, entraînera une perte permanente de données.

La note de rançon OlSaveLock menace la hausse de la rançon dans 72 heures

Le texte intégral de la note de rançon OlSaveLock se lit comme suit :

VOTRE IDENTIFIANT PERSONNEL :

VOTRE RÉSEAU D'ENTREPRISE A ÉTÉ PÉNÉTRÉ
Tous vos fichiers importants ont été cryptés !

Vos fichiers sont en sécurité ! Seulement modifié. (RSA+AES)

TOUTE TENTATIVE DE RESTAURATION DE VOS FICHIERS AVEC UN LOGICIEL TIERS
LE CORRUPTERA DE MANIÈRE PERMANENTE.
NE MODIFIEZ PAS LES FICHIERS CRYPTÉS.
NE PAS RENOMMER LES FICHIERS CRYPTÉS.

Aucun logiciel disponible sur internet ne peut vous aider. Nous sommes les seuls à pouvoir
résoudre votre problème.

Nous avons recueilli des données hautement confidentielles/personnelles. Ces données sont actuellement stockées sur
un serveur privé. Ce serveur sera immédiatement détruit après votre paiement.
Si vous décidez de ne pas payer, nous divulguerons vos données au public ou au revendeur.
Vous pouvez donc vous attendre à ce que vos données soient accessibles au public dans un avenir proche.

Nous recherchons uniquement de l'argent et notre objectif n'est pas de nuire à votre réputation ou d'empêcher
votre entreprise de courir.

Vous pourrez nous envoyer 2-3 fichiers non importants et nous les décrypterons gratuitement
pour prouver que nous sommes capables de rendre vos fichiers.

Contactez-nous pour le prix et obtenez un logiciel de décryptage.

e-mail:
ithelp10@securitymy.name
ithelp10@yousheltered.com

• Pour nous contacter, créez un nouveau compte mail gratuit sur le site : protonmail.com
  SI VOUS NE NOUS CONTACTEZ PAS DANS LES 72 HEURES, LE PRIX SERA PLUS ÉLEVÉ.

Comment un rançongiciel comme OlSaveLock est-il généralement livré sur le système victime ?

La livraison de rançongiciels comme OlSaveLock sur les systèmes victimes implique généralement diverses méthodes et techniques. Voici quelques manières courantes de diffuser les ransomwares :

• E-mails d'hameçonnage : les e-mails d'hameçonnage restent une méthode populaire de diffusion de rançongiciels. Les attaquants envoient des e-mails apparemment légitimes avec des pièces jointes ou des liens malveillants. Ces e-mails usurpent souvent l'identité d'organisations réputées, incitant les destinataires à ouvrir des pièces jointes ou à cliquer sur des liens qui téléchargent le ransomware sur leurs systèmes.
• Téléchargements malveillants : les rançongiciels peuvent également être diffusés par le biais de téléchargements malveillants à partir de sites Web compromis ou de publicités trompeuses (malvertising). Visiter des sites Web compromis ou cliquer sur des publicités malveillantes peut déclencher le téléchargement et l'exécution automatiques de la charge utile du ransomware.
• Kits d'exploitation : les kits d'exploitation sont des kits d'outils qui tirent parti des vulnérabilités des logiciels ou des systèmes d'exploitation. En exploitant les failles de sécurité, ils peuvent diffuser et installer silencieusement des ransomwares sur des systèmes vulnérables sans interaction de l'utilisateur. Ces vulnérabilités peuvent être trouvées dans des logiciels obsolètes ou des systèmes non corrigés.
• Attaques RDP (Remote Desktop Protocol) : les attaquants peuvent cibler des systèmes sur lesquels le protocole RDP (Remote Desktop Protocol) est activé, mais dont les identifiants de connexion sont faibles ou facilement devinables. Ils tentent d'obtenir un accès non autorisé au système, puis déploient le ransomware.
• Liens et sites Web malveillants : les rançongiciels peuvent être distribués via des liens malveillants partagés via les réseaux sociaux, les plateformes de messagerie instantanée ou des sites Web compromis. Cliquer sur ces liens ou visiter des sites Web infectés peut déclencher le téléchargement et l'exécution du rançongiciel.
• Téléchargements intempestifs : les téléchargements intempestifs se produisent lorsqu'un logiciel de rançon est automatiquement téléchargé et installé à l'insu de l'utilisateur ou sans interaction lors de la visite d'un site Web compromis ou malveillant. Exploitant les vulnérabilités des navigateurs ou des plugins, le ransomware est livré furtivement.

Il est important de noter que ces méthodes de livraison peuvent évoluer et que de nouvelles techniques peuvent émerger au fil du temps. Pour se protéger contre les attaques de rançongiciels, il est essentiel de maintenir un logiciel de sécurité à jour, d'appliquer régulièrement des correctifs et des mises à jour, de faire preuve de prudence lors de l'ouverture de pièces jointes ou de cliquer sur des liens, et de mettre en place des contrôles d'accès et des mesures de sécurité solides sur les systèmes et les réseaux. Les sauvegardes régulières des données et la formation des utilisateurs à la reconnaissance et à l'évitement des menaces potentielles jouent également un rôle crucial dans l'atténuation de l'impact des attaques de ransomwares.