„Keylock Ransomware“ naudoja „Lengthy Ransom Note“.

Mūsų mokslininkai nustatė, kad Keylock yra išpirkos reikalaujančios programos tipas, reguliariai tikrindami naujus pateiktus failus. Ransomware veikia šifruodama failus ir reikalaudama sumokėti už jų iššifravimą.

Mūsų bandomojoje sistemoje „Keylock“ užšifravo failus ir prie jų pavadinimų pridėjo „.keylock“ plėtinį. Pavyzdžiui, failas, iš pradžių pavadintas „1.jpg“, tapo „1.jpg.keylock“, „2.png“ virto „2.png.keylock“ ir t. t. visuose paveiktuose failuose.

Kai šifravimo procesas buvo baigtas, buvo sugeneruotas išpirkos raštas pavadinimu „README-id-[naudotojo vardas].txt“. Klaviatūros užraktas taip pat pakeitė darbalaukio foną.

„Keylock“ pateikta ekrano užsklanda nukreipia auką į tekstinį failą. Šiame faile esančiame išpirkos rašte paaiškinama, kad nepasiekiami failai buvo užšifruoti, ir teigiama, kad aukos duomenys buvo paimti.

Norėdami atkurti duomenis, auka turi gauti unikalų užpuoliko turimą iššifravimo raktą. Norint gauti iššifravimo įrankius, reikia sumokėti nenurodytą išpirką Bitcoin kriptovaliuta. Aukai suteiktos 72 valandos susisiekti su kibernetiniais nusikaltėliais; to nepadarius, pavogti įmonės duomenys bus atskleisti arba parduoti.

Prieš atlikdamas bet kokius mokėjimus, auka turi galimybę išbandyti iššifravimo procesą, nusiųsdama užpuolikams iki trijų užšifruotų failų. Šie failai neturėtų viršyti 2 MB ir juose neturėtų būti vertingos informacijos.

Pranešime taip pat įspėjama nepervardyti, keisti ar ištrinti užšifruotus failus, nebandyti rankiniu būdu iššifruoti arba naudoti trečiosios šalies atkūrimo programinę įrangą ar antivirusinius įrankius, nes dėl šių veiksmų duomenys gali būti prarasti visam laikui.

Keylock Ransom Note grasina nutekėti praėjus 72 valandoms po atakos

Visas „Keylock“ išpirkos rašto tekstas skamba taip:

JŪSŲ FAILAI YRA KRIPTUOTI

Jūsų failai buvo užšifruoti naudojant stiprius šifravimo algoritmus ir modifikuoti, o dabar turi plėtinį „.keylock“!
Failo struktūra nebuvo pažeista. Nesijaudinkite, jūsų unikalus šifravimo raktas yra saugiai saugomas mūsų serveryje, o jūsų duomenys gali būti greitai ir saugiai iššifruoti.
Garantuojame, kad galėsite lengvai atkurti visus savo duomenis.
Mes suteikiame jums išsamias instrukcijas. Ir padės jums, kol iššifravimo procesas bus visiškai baigtas.

Galime įrodyti, kad galime iššifruoti visus jūsų duomenis. Tiesiog atsiųskite mums 3 nesvarbius, mažus (~2 MB) užšifruotus failus, kurie atsitiktinai saugomi jūsų serveryje. Taip pat kiekviename aplanke pridėkite mūsų paliktą README-id.txt.
Šiuos failus iššifruosime ir atsiųsime jums kaip įrodymą. Atminkite, kad nemokamo bandomojo iššifravimo failuose neturėtų būti vertingos informacijos.

Jei nepradėsite dialogo su mumis per 72 valandas, būsime priversti paskelbti jūsų failus viešai. Jūsų klientai ir partneriai bus informuoti apie duomenų nutekėjimą.
Tokiu būdu jūsų reputacija bus sugriauta. Jei nereaguosite, būsime priversti parduoti svarbiausią informaciją, pvz., duomenų bazes ir asmeninius duomenis, suinteresuotoms šalims, kad gautume pelno.
Tai tik verslas.
Mums visiškai nerūpi jūs ir jūsų pasiūlymai, išskyrus naudos gavimą.
Jei neatliksime savo darbo ir įsipareigojimų – niekas su mumis nebendradarbiaus. Tai ne mūsų interesai.

Jei norite iššifruoti failus, turėsite sumokėti Bitcoins.
Jei norite išspręsti šią situaciją, laiške pridėkite šį failą README-id.txt ir parašykite VISAIS šiais 2 el. pašto adresais:

keychain@onionmail.org
keybranch@mailfence.com

Taip pat galite parašyti mums per Telegram: hxxps://t.me/key_chain

SVARBU!
Rekomenduojame susisiekti tiesiogiai su mumis, kad agentai nepermokėtų. Jūsų duomenys yra užšifruoti ir tik MES turime iššifravimo raktą. Norėdami iššifruoti savo duomenis, jums reikia tik 1 valandos po apmokėjimo, ne daugiau nei.
Prašome siųsti savo pranešimą VISAIS mūsų 2 el. pašto adresais ir telegrama, nes dėl įvairių priežasčių jūsų el. laiškas gali būti nepristatytas.
Mūsų žinutė gali būti atpažinta kaip šlamštas, todėl būtinai patikrinkite šlamšto aplanką.
Jei per 24 valandas neatsakome, parašykite mums iš kito el. pašto adreso.
Negaiškite laiko, tai atneš tik papildomos žalos jūsų įmonei.
Nepervardykite ir nebandykite iššifruoti failų patys. Mes negalėsime jums padėti, jei failai bus modifikuoti.
Jei bandysite naudoti bet kokią trečiosios šalies programinę įrangą duomenims atkurti ar antivirusiniams sprendimams, sukurkite visų šifruotų failų atsarginę kopiją.
Jei iš esamo kompiuterio ištrinsite užšifruotus failus, gali nepavykti jų iššifruoti.

Kodėl „Ransomware“ aktoriai naudojasi duomenų nutekėjimo grėsme?

Ransomware aktoriai naudoja duomenų nutekėjimo grėsmes dėl kelių priežasčių:

• Padidėjęs svertas: grasindami nutekėti neskelbtinus duomenis, išpirkos reikalaujančių programų operatoriai turi didesnį svertą prieš savo aukas. Tai daro papildomą spaudimą, nes auka jaučiasi ne tik užšifruota ir nepasiekiama, bet ir jų privati bei potencialiai žalinga informacija gali būti atskleista viešai.
• Didesnės išpirkos išmokos: aukos labiau linkusios sumokėti didesnę išpirkos sumą, kai mano, kad pavogti duomenys yra jautrūs, konfidencialūs ar vertingi. Baimė dėl žalos reputacijai, teisinių pasekmių ar finansinių nuostolių gali paskatinti aukas patenkinti išpirkos reikalavimus.
• Žala reputacijai: duomenų nutekėjimas gali labai pakenkti organizacijos reputacijai. Jei bus atskleista neskelbtina ar privati informacija, ji gali pakirsti klientų, partnerių ir suinteresuotųjų šalių pasitikėjimą. Įmonės dažnai nori bet kokia kaina užkirsti kelią duomenų nutekėjimui, kad apsaugotų savo įvaizdį.
• Teisinės ir atitikties problemos: Duomenų nutekėjimo grėsmės organizacijoms gali sukelti didelių teisinių ir atitikties problemų. Atsižvelgiant į pavogtų duomenų pobūdį, organizacijoms gali būti taikomos norminės baudos ir teisiniai veiksmai. Išpirkos mokėjimas gali atrodyti kaip būdas išvengti šių galimų pasekmių.
• Viešas gėdinimas: kai kurios išpirkos reikalaujančios programos naudoja duomenų nutekėjimo grėsmes kaip taktiką, siekdamos viešai sugėdinti savo aukas. Jie gali nutekinti dalį pavogtų duomenų arba pateikti pažeidimo įrodymą, o tai gali sukelti neigiamą žiniasklaidos dėmesį ir visuomenės gėdą aukų organizacijai.
• Spaudimas mokėti greitai: Duomenų nutekėjimo grėsmė dažnai kyla dėl trumpo termino, todėl aukos verčiamos greitai priimti sprendimus. Dėl šios skubos gali būti sumokėta skubota išpirka, kad būtų išvengta duomenų atskleidimo.