GoodWill Ransomware prøver å spille på Robin Hood
GoodWill er en relativt ny ransomware-stamme analysert av sikkerhetsforskere med CloudSEK.
Det som spesielt setter GoodWill til side fra flertallet av andre løsepengevare-kloner og større familier, er løsepengenotatet og den påståtte motivasjonen til løsepengevareoperatøren. GoodWill gjør sitt beste for å overbevise ofre og verden for øvrig om at gruppen bak det ikke er en gjeng med nettkriminelle, men velgjørere og forkjempere for edle saker. Selvfølgelig er det vanskelig når du bruker cyberutpressingstaktikker.
The GoodWill inneholder en overraskende lang løsepengenotat, som antyder at offeret for skadelig programvare bør utføre rare veldedighetshandlinger. Den første siden oppfordrer til å "skaffe nye klær/tepper til trengende mennesker" og til og med "lage en video av denne hendelsen". Den andre "gode gjerningen" er å ta fattige barn "fra nabolaget ditt" og ta dem ut på pizza, for å "få dem til å føle seg lykkelige". Den tredje siden ber løsepenge-offeret om å gå til et sykehus og hjelpe folk som trenger penger til behandling.
Disse ekstremt uvanlige forespørslene er hva hackerne forventer for å sende en dekrypteringsnøkkel.
På den tekniske siden av ting, krypterer GoodWill filer ved hjelp av AES. Løsepengevaren skrives og kompileres ved hjelp av .NET og pakkes deretter med UPX-pakkeverktøy.
Ransomware, når den er utført, sover i over 10 minutter, i et forsøk på å unngå dynamisk analyse. Undersøkelsen utført av CloudSEK viser en betydelig overlapping mellom GoodWill og HiddenTear-ransomware, som fikk sin proof of concept-kode lastet opp offentlig på nettet.
