Reload Ransomware est basé sur Makop

Dans notre analyse du malware Reload, nous avons déterminé qu'il appartient à la famille Makop et fonctionne comme un ransomware, principalement conçu pour le cryptage de fichiers. Outre le cryptage des données, Reload supprime également une demande de rançon, nommée « +README-WARNING+.txt » et modifie les noms de fichiers.

Reload ajoute une séquence de caractères aléatoires, vraisemblablement l'identifiant de la victime, une adresse e-mail et l'extension ".reload" aux noms de fichiers d'origine. Par exemple, il transforme « 1.jpg » en « 1.jpg.[2AF20FA3].[reload2024@outlook.com].reload » et « 2.png » en « 2.png.[2AF20FA3].[reload2024@ Outlook.com].reload", et ainsi de suite.

La demande de rançon commence par une déclaration claire indiquant que tous les fichiers ont été cryptés et portent désormais l'extension « .reload ». Cela souligne l’urgence de contacter rapidement les attaquants pour empêcher la publication des fichiers cryptés sur Internet. La note fournit l'adresse e-mail reload2024@outlook.com à des fins de communication.

En outre, la note évoque une menace de perte permanente de fichiers si les victimes ne parviennent pas à s'engager directement avec les attaquants pour la récupération des fichiers, décourageant explicitement le recours à des sociétés intermédiaires ou à des programmes basés sur Internet pour les efforts de récupération.

Recharger la note de rançon dans son intégralité

Le texte complet de la demande de rançon générée par Reload se lit comme suit :

Your files are encrypted and stolen, all encrypted files have the extension .reload

To restore your files so that they are not published on the Internet, you need to contact us as soon as possible!

Our contact email address: reload2024@outlook.com

Your files may be published on the Internet if you ignore this message.

You will lose your files if you do not write to us to recover your files!

You will lose your files forever if you use intermediary companies and programs from the Internet to recover your files!

Comment les ransomwares comme Reload sont-ils distribués en ligne ?

Reload, comme de nombreuses variantes de ransomware, est généralement distribué en ligne via diverses méthodes visant à exploiter les vulnérabilités ou à inciter les utilisateurs à télécharger et à exécuter du contenu malveillant. Voici les méthodes de distribution courantes des ransomwares comme Reload :

E-mails de phishing : les cybercriminels utilisent souvent des e-mails de phishing pour diffuser des ransomwares. Ces e-mails peuvent sembler légitimes et contenir des pièces jointes ou des liens malveillants. Dans le cas de Reload, les utilisateurs peuvent être incités à ouvrir une pièce jointe, telle qu'un document ou un fichier apparemment inoffensif, ce qui déclenche ensuite le processus d'installation du logiciel malveillant.

Sites Web malveillants : la visite de sites Web compromis ou malveillants peut entraîner le téléchargement et l'installation involontaire de ransomware. Les cybercriminels peuvent exploiter les vulnérabilités des navigateurs ou des plugins pour diffuser la charge utile malveillante.

Kits d'exploit : les cyberattaquants peuvent utiliser des kits d'exploitation pour cibler des vulnérabilités connues dans les logiciels, les systèmes d'exploitation ou les navigateurs. Lorsqu'un utilisateur visite un site Web compromis, le kit d'exploitation recherche les vulnérabilités et fournit la charge utile du ransomware si une vulnérabilité appropriée est trouvée.

Téléchargements au volant : le téléchargement involontaire de contenu malveillant lors de la visite de sites Web, souvent via des fenêtres contextuelles ou des téléchargements automatiques, peut entraîner l'installation d'un ransomware. Les utilisateurs peuvent ne pas être au courant de ces téléchargements, ce qui facilite l'infiltration des logiciels malveillants dans le système.

Publicités malveillantes (Malvertising) : les cybercriminels peuvent utiliser des publicités en ligne pour distribuer des ransomwares. Cliquer sur une publicité infectée peut rediriger les utilisateurs vers un site hébergeant le malware ou déclencher un téléchargement automatique.

Logiciels compromis : les attaquants peuvent compromettre les installateurs ou mises à jour de logiciels légitimes, en y injectant un ransomware avant que les utilisateurs ne téléchargent et n'installent le logiciel apparemment authentique.