Keylock Ransomware utilizza una lunga richiesta di riscatto

I nostri ricercatori hanno identificato Keylock come un tipo di programma ransomware durante un esame regolare dei nuovi file inviati. Il ransomware funziona crittografando i file e richiedendo quindi il pagamento per la loro decrittografia.

Sul nostro sistema di test, Keylock ha crittografato i file e ha aggiunto l'estensione ".keylock" ai nomi dei file. Ad esempio, un file originariamente denominato "1.jpg" è diventato "1.jpg.keylock", "2.png" è diventato "2.png.keylock" e così via per tutti i file interessati.

Una volta terminato il processo di crittografia, è stata generata una richiesta di riscatto con il titolo "README-id-[nome utente].txt". Keylock ha anche modificato lo sfondo del desktop.

Lo sfondo fornito da Keylock guida la vittima al file di testo. La richiesta di riscatto contenuta in questo file spiega che i file inaccessibili sono stati crittografati e suggerisce che i dati della vittima siano stati rubati.

Per recuperare i dati, la vittima deve ottenere la chiave di decrittazione univoca detenuta dagli aggressori. Per ottenere gli strumenti di decrittazione è necessario pagare un riscatto non specificato in criptovaluta Bitcoin. Alla vittima vengono concesse 72 ore per contattare i criminali informatici; in caso contrario, i dati aziendali rubati verranno esposti o venduti.

Prima di effettuare qualsiasi pagamento, la vittima ha la possibilità di testare il processo di decrittazione inviando fino a tre file crittografati agli aggressori. Questi file non devono superare le dimensioni di 2 MB e non devono contenere informazioni preziose.

Il messaggio mette inoltre in guardia contro la ridenominazione, la modifica o l'eliminazione dei file crittografati, il tentativo di decrittografia manuale o l'utilizzo di software di ripristino o strumenti antivirus di terze parti, poiché queste azioni potrebbero comportare la perdita permanente dei dati.

La richiesta di riscatto Keylock minaccia una fuga di dati 72 ore dopo l'attacco

Il testo completo della richiesta di riscatto di Keylock è il seguente:

I TUOI FILE SONO CRIPTATI

I tuoi file sono stati crittografati con algoritmi di crittografia avanzati e modificati e ora hanno l'estensione ".keylock"!
La struttura del file non è stata danneggiata. Non preoccuparti, la tua chiave di crittografia univoca è archiviata in modo sicuro sul nostro server e i tuoi dati possono essere decrittografati in modo rapido e sicuro.
Ti garantiamo che potrai recuperare facilmente tutti i tuoi dati.
Ti forniremo istruzioni complete. E aiutarti fino al completamento del processo di decrittazione.

Possiamo dimostrare che possiamo decrittografare tutti i tuoi dati. Ti preghiamo di inviarci semplicemente 3 file crittografati non importanti, piccoli (~2 MB), che vengono archiviati in modo casuale sul tuo server. Allega anche il tuo README-id.txt lasciato da noi in ogni cartella.
Decifreremo questi file e te li invieremo come prova. Tieni presente che i file per la decrittazione di prova gratuita non devono contenere informazioni preziose.

Se non avvierai un dialogo con noi entro 72 ore saremo costretti a pubblicare i tuoi file nel pubblico dominio. I tuoi clienti e partner verranno informati della fuga di dati.
In questo modo la tua reputazione sarà rovinata. Se non reagirai, saremo costretti a vendere le informazioni più importanti come database e dati personali alle parti interessate per generare qualche profitto.
È solo un affare.
Non ci importa assolutamente di te e dei tuoi affari, tranne che di ottenere vantaggi.
Se non svolgiamo il nostro lavoro e le nostre responsabilità, nessuno collaborerà con noi. Non è nel nostro interesse.

Se desideri decrittografare i tuoi file dovrai pagare in Bitcoin.
Se vuoi risolvere questa situazione, allega nella lettera questo file README-id.txt e scrivi a TUTTI questi 2 indirizzi email:

keychain@onionmail.org
keybranch@mailfence.com

Puoi anche inviarci un messaggio su Telegram: hxxps://t.me/key_chain

IMPORTANTE!
Ti consigliamo di contattarci direttamente per evitare di pagare più del dovuto gli agenti. I tuoi dati sono crittografati e solo NOI SIAMO abbiamo la chiave di decrittazione. Per decrittografare i tuoi dati è necessaria solo 1 ora, dopo il pagamento, non più di.
Chiediamo di inviare il tuo messaggio a TUTTI i nostri 2 indirizzi email e a Telegram, perché per vari motivi la tua email potrebbe non essere consegnata.
Il nostro messaggio potrebbe essere riconosciuto come spam, quindi assicurati di controllare la cartella spam.
Se non ti rispondiamo entro 24 ore, scrivici da un altro indirizzo email.
Per favore non perdere tempo, ciò comporterà solo ulteriori danni alla tua azienda.
Si prega di non rinominare e provare a decrittografare i file da soli. Non saremo in grado di aiutarti se i file verranno modificati.
Se proverai a utilizzare software di terze parti per ripristinare i tuoi dati o soluzioni antivirus, esegui un backup di tutti i file crittografati.
Se elimini file crittografati dal computer corrente, potresti non essere in grado di decrittografarli.

Perché gli attori del ransomware utilizzano minacce di perdita di dati?

Gli autori del ransomware utilizzano le minacce di fuga di dati per diversi motivi:

• Maggiore effetto leva: minacciare di divulgare dati sensibili offre agli operatori di ransomware un maggiore potere sulle loro vittime. Aggiunge un ulteriore livello di pressione facendo sentire alla vittima che non solo i suoi file sono crittografati e inaccessibili, ma che anche le sue informazioni private e potenzialmente dannose potrebbero essere esposte al pubblico.
• Pagamenti di riscatto più elevati: le vittime sono più propense a pagare un importo di riscatto più elevato quando ritengono che i dati rubati siano sensibili, riservati o preziosi. Il timore di danni alla reputazione, conseguenze legali o perdite finanziarie può spingere le vittime a soddisfare le richieste di riscatto.
• Danni alla reputazione: le fughe di dati possono danneggiare gravemente la reputazione di un'organizzazione. Se vengono esposte informazioni sensibili o private, ciò può erodere la fiducia tra clienti, partner e parti interessate. Le aziende spesso vogliono impedire a tutti i costi la fuga di dati per proteggere la propria immagine.
• Preoccupazioni legali e di conformità: le minacce di fuga di dati possono creare notevoli problemi legali e di conformità per le organizzazioni. A seconda della natura dei dati rubati, le organizzazioni potrebbero essere soggette a sanzioni normative e azioni legali. Il pagamento del riscatto può sembrare un modo per evitare queste potenziali conseguenze.
• Vergogna pubblica: alcuni gruppi di ransomware utilizzano le minacce di fuga di dati come tattica per svergognare pubblicamente le loro vittime. Potrebbero far trapelare una parte dei dati rubati o fornire la prova della violazione, il che può portare ad un'attenzione negativa da parte dei media e all'imbarazzo pubblico per l'organizzazione vittima.
• Pressione per pagare rapidamente: la minaccia di fughe di dati spesso comporta scadenze ravvicinate, costringendo le vittime a prendere decisioni rapide. Questa urgenza può portare a pagamenti affrettati di riscatto per prevenire l’esposizione dei dati.