A BuSaveLock Ransomware titkosítja a fájlokat

Kutatócsoportunk nemrég fedezte fel a BuSaveLock nevű zsarolóvírus-változatot, amely a MedusaLocker családhoz tartozik. Elsődleges célja a fájlok titkosítása, és a visszafejtésért cserébe fizetés követelése. Ezenkívül a BuSaveLock tartalmaz egy váltságdíjat ("How_to_back_files.html"), és módosítja a fájlneveket.

A fájlok átnevezéséhez a BuSaveLock egy adott számot ad az eredeti fájlnevekhez a ".busavelock" kiterjesztéssel együtt. A kiterjesztésen belüli szám a BuSaveLock adott változatától függően változik. Például egy eredeti neve "1.jpg" a következőre módosul: "1.jpg.busavelock53", míg a "2.png" "2.png.busavelock53" lesz, és így tovább.

A kísérő váltságdíj-jegyzet tájékoztatja az áldozatot, hogy az összes kulcsfontosságú fájlt RSA és AES titkosítási módszerekkel titkosították. Nyomatékosan javasolja, hogy ne kísérelje meg a fájlok visszaállítását harmadik féltől származó szoftverekkel, mivel azt állítja, hogy az ilyen kísérletek véglegesen megsértik a fájlokat. Ezenkívül a megjegyzés arra utasítja az áldozatokat, hogy ne módosítsák vagy nevezzék át a titkosított fájlokat.

A váltságdíj bátran állítja, hogy az interneten elérhető szoftverek nem segíthetnek a probléma megoldásában, hangsúlyozva, hogy a támadók kizárólagos képességgel rendelkeznek a fájlok visszafejtésére. Kijelenti továbbá, hogy a támadók rendkívül érzékeny és személyes adatokhoz jutottak hozzá, amelyeket jelenleg egy privát szerveren tárolnak. Ha az áldozatok megtagadják a fizetést, a támadók azzal fenyegetőznek, hogy nyilvánosságra hozzák az adatokat, vagy eladják más feleknek.

A titkosított fájlok visszaállítási képességének demonstrációjaként a feljegyzés megemlíti, hogy a kiberbűnözők 2-3 nem fontos fájl visszafejtését ajánlják fel ingyenesen. A feljegyzés megadja a kommunikációhoz szükséges elérhetőségeket, köztük két e-mail címet: ithelp11@securitymy.name és ithelp11@yousheltered.com.

A váltságdíj feljegyzése azzal a figyelmeztetéssel zárul, hogy ha 72 órán belül nem sikerül kapcsolatba lépni a támadókkal, akkor a visszafejtő szoftver ára megemelkedik.

A BuSaveLock Ransom Note az ellopott információk kiszivárogtatásával fenyeget

A BuSaveLock váltságdíjról szóló értesítés teljes szövege a következő:

AZ ÖN SZEMÉLYI IDŐ:

AZ ÖN VÁLLALATI HÁLÓZATÁBA BETÖRÖLT
Minden fontos fájlod titkosítva lett!

Fájlai biztonságban vannak! Csak módosítva. (RSA+AES)

BÁRMILYEN KÍSÉRLET, HOGY HARMADIK FÉL SZOFTVERÉVEL VISSZAÁLLÍTSA FÁJLOIT
VÉGLEGESEN MEGKORRUMPÁLJA.
NE MÓDOSÍTSA TITKOSÍTOTT FÁJLOKAT.
NE NEVEZZ ÁT TITKOSÍTOTT FÁJLOKAT.

Az interneten elérhető szoftverek nem tud segíteni. Csak mi vagyunk képesek rá
oldja meg a problémáját.

Erősen bizalmas/személyes adatokat gyűjtöttünk. Ezek az adatok jelenleg a következő helyen vannak tárolva
egy privát szerver. Ez a szerver azonnal megsemmisül a fizetés után.
Ha úgy dönt, hogy nem fizet, akkor adatait nyilvánosságra hozzuk vagy viszonteladónak adjuk ki.
Így arra számíthat, hogy adatai a közeljövőben nyilvánosan elérhetőek lesznek.

Csak pénzt keresünk, és nem az a célunk, hogy rontsuk az Ön hírnevét vagy megakadályozzuk
a vállalkozásod működésétől.

2-3 nem fontos fájlt küldhet nekünk, és mi ingyenesen visszafejtjük
annak bizonyítására, hogy vissza tudjuk adni a fájljait.

Lépjen kapcsolatba velünk az árért és szerezzen visszakódoló szoftvert.

email:
ithelp11@securitymy.name
ithelp11@yousheltered.com

• Ha kapcsolatba szeretne lépni velünk, hozzon létre egy új ingyenes e-mail fiókot a protonmail.com webhelyen
  HA 72 ÓRÁN BELÜL NEM KERÜLI VELÜNK KAPCSOLATOT, AZ ÁR MAGASABB LESZ.

Hogyan hatolhat be a BuSaveLockhoz hasonló Ransomware a rendszerébe?

A zsarolóvírusok, például a BuSaveLock különféle módszerekkel behatolhatnak a rendszerébe, többek között:

E-mail mellékletek: Az egyik gyakori módszer a rosszindulatú e-mail mellékletek. A hackerek ártatlannak látszó fájloknak, például dokumentumoknak vagy PDF-eknek álcázzák a zsarolóprogramokat, és e-mail mellékletként küldik el őket. Ha tudtán kívül megnyitja és letölti a mellékletet, a zsarolóprogram végrehajtásra kerül a rendszeren.

Rosszindulatú linkek: A Ransomware terjeszthető adathalász e-maileken vagy olyan üzeneteken keresztül is, amelyek fertőzött webhelyekre mutató hivatkozásokat tartalmaznak. Ezekre a hivatkozásokra kattintva zsarolóprogramok letöltéséhez és végrehajtásához vezethet a rendszeren.

Kizsákmányoló készletek: A kiberbűnözők kihasználhatják az elavult szoftverek vagy operációs rendszerek sebezhetőségét. A kizsákmányoló készletek használatával automatikusan ransomware-t juttathatnak el a rendszerébe, amikor feltört webhelyeket keres fel, vagy rosszindulatú hirdetésekre kattint.

Rosszindulatú letöltések: A zsarolóprogramok elrejthetők a nem megbízható vagy feltört webhelyekről származó ártalmatlannak tűnő letöltésekben. Ez magában foglalhatja a szoftver feltöréseit, a kulcsgenerátorokat vagy a kalóz tartalmat, ahol a zsarolóvírus hasznos terhelése a tervezett letöltéssel együtt van.

A Remote Desktop Protocol (RDP) biztonsági rései: Ha rendszerén engedélyezve van a Remote Desktop Protocol, és gyenge vagy feltört hitelesítési adatokkal elérhető az interneten, a támadók ezeket a biztonsági réseket kihasználva jogosulatlan hozzáférést szerezhetnek, és zsarolóprogramokat telepíthetnek.

Rosszindulatú hirdetések: A rosszindulatú hirdetések, más néven rosszindulatú hirdetések megjelenhetnek legitim webhelyeken. Ezek a hirdetések rosszindulatú kódot tartalmazhatnak, amelyre kattintva zsarolóprogramok letöltését és telepítését indíthatja el.

Drive-by-letöltések: A zsarolóprogramok indítási letöltések útján is terjeszthetők, amelyek akkor fordulnak elő, amikor felkeres egy feltört webhelyet, amely automatikusan letölti és végrehajtja a zsarolóprogramot az Ön tudta vagy beavatkozása nélkül.