Keylock Ransomware bruker lang løsepengenotat

Forskerne våre identifiserte Keylock som en type løsepengeprogram under en regelmessig undersøkelse av nye filinnsendinger. Ransomware fungerer ved å kryptere filer og deretter kreve betaling for dekryptering.

På vårt testsystem krypterte Keylock filer og la til en ".keylock"-utvidelse til filnavnene deres. For eksempel ble en fil som opprinnelig het "1.jpg" til "1.jpg.keylock", "2.png" omgjort til "2.png.keylock" og så videre for alle berørte filer.

Når krypteringsprosessen var fullført, ble en løsepengenotat med tittelen "README-id-[brukernavn].txt" generert. Keylock endret også skrivebordsbakgrunnen.

Bakgrunnen levert av Keylock guider offeret til tekstfilen. Løsepengene i denne filen forklarer at de utilgjengelige filene er kryptert og antyder at offerets data er tatt.

For å gjenopprette dataene, må offeret skaffe den unike dekrypteringsnøkkelen som angriperne har. Å skaffe dekrypteringsverktøyene krever å betale en uspesifisert løsepenge i Bitcoin-kryptovaluta. Offeret får 72 timer til å kontakte nettkriminelle; unnlatelse av å gjøre dette vil føre til at de stjålne bedriftsdataene blir avslørt eller solgt.

Før de foretar noen betalinger, har offeret muligheten til å teste dekrypteringsprosessen ved å sende opptil tre krypterte filer til angriperne. Disse filene bør ikke overstige 2 MB og bør ikke inneholde verdifull informasjon.

Meldingen advarer også mot å gi nytt navn, endre eller slette de krypterte filene, forsøke manuell dekryptering eller bruke tredjeparts gjenopprettingsprogramvare eller antivirusverktøy, da disse handlingene kan føre til permanent tap av data.

Keylock løsepengenotat truer lekkasje 72 timer etter angrep

Den fullstendige teksten til Keylock løsepengenotatet lyder som følger:

DINE FILER ER KRYPTERT

Filene dine har blitt kryptert med sterke krypteringsalgoritmer og modifisert og har nå utvidelsen '.keylock'!
Filstrukturen ble ikke skadet. Ikke bekymre deg, din unike krypteringsnøkkel er lagret sikkert på serveren vår og dataene dine kan dekrypteres raskt og sikkert.
Vi garanterer at du enkelt kan gjenopprette alle dataene dine.
Vi gir deg full instruksjon. Og hjelpe deg til dekrypteringsprosessen er helt ferdig.

Vi kan bevise at vi kan dekryptere alle dataene dine. Vennligst send oss 3 ikke viktige, små (~2mb) krypterte filer, som er tilfeldig lagret på serveren din. Legg også ved README-id.txt etterlatt av oss i hver mappe.
Vi vil dekryptere disse filene og sende dem til deg som et bevis. Vær oppmerksom på at filer for gratis testdekryptering ikke skal inneholde verdifull informasjon.

Hvis du ikke starter en dialog med oss innen 72 timer, vil vi bli tvunget til å publisere filene dine i det offentlige domene. Dine kunder og partnere vil bli informert om datalekkasjen.
På denne måten vil ryktet ditt bli ødelagt. Hvis du ikke vil reagere, vil vi bli tvunget til å selge den viktigste informasjonen som databaser og personopplysninger til interesserte parter for å generere noe fortjeneste.
Det er bare en bedrift.
Vi bryr oss absolutt ikke om deg og avtalene dine, bortsett fra å få fordeler.
Hvis vi ikke gjør vårt arbeid og våre forpliktelser - vil ingen samarbeide med oss. Det er ikke i vår interesse.

Hvis du ønsker å dekryptere filene dine, må du betale med Bitcoins.
Hvis du ønsker å løse denne situasjonen, legg ved denne filen README-id.txt i brevet og skriv til ALLE disse 2 e-postadressene:

nøkkelring@onionmail.org
keybranch@mailfence.com

Du kan også sende oss en melding på Telegram: hxxps://t.me/key_chain

VIKTIG!
Vi anbefaler at du kontakter oss direkte for å unngå overbetalende agenter. Du data kryptert og bare VI ER har dekrypteringsnøkkel. For å dekryptere dataene dine trenger du bare 1 time, etter betaling, ikke mer enn.
Vi ber om å sende meldingen din til ALLE våre 2 e-postadresser og Telegram, fordi det av ulike årsaker kan hende at e-posten din ikke blir levert.
Meldingen vår kan bli gjenkjent som spam, så sørg for å sjekke spam-mappen.
Hvis vi ikke svarer deg innen 24 timer, skriv til oss fra en annen e-postadresse.
Ikke kast bort tiden, det vil kun føre til ytterligere skade på bedriften din.
Vennligst ikke gi nytt navn og prøv å dekryptere filene selv. Vi vil ikke kunne hjelpe deg hvis filene blir endret.
Hvis du vil prøve å bruke tredjepartsprogramvare for å gjenopprette dataene dine eller antivirusløsninger, vennligst ta en sikkerhetskopi for alle krypterte filer.
Hvis du sletter noen krypterte filer fra den gjeldende datamaskinen, kan det hende du ikke kan dekryptere dem.

Hvorfor bruker ransomware-aktører trusler om datalekkasje?

Ransomware-aktører bruker datalekkasjetrusler av flere grunner:

• Økt innflytelse: Truer med å lekke sensitive data gir løsepengevareoperatører økt innflytelse over ofrene sine. Det legger til et ekstra lag med press ved å få offeret til å føle at ikke bare filene deres er kryptert og utilgjengelige, men at deres private og potensielt skadelige informasjon også kan bli utsatt for offentligheten.
• Høyere løsepenger: Ofre er mer sannsynlig å betale et høyere løsepengebeløp når de tror at de stjålne dataene er sensitive, konfidensielle eller verdifulle. Frykten for skade på omdømmet, juridiske konsekvenser eller økonomisk tap kan få ofre til å møte løsepengekravene.
• Omdømmeskade: Datalekkasjer kan skade en organisasjons omdømme alvorlig. Hvis sensitiv eller privat informasjon avsløres, kan det svekke tilliten blant kunder, partnere og interessenter. Bedrifter ønsker ofte å forhindre datalekkasjer for enhver pris for å beskytte sitt image.
• Juridiske og overholdelsesbekymringer: Trusler om datalekkasjer kan skape betydelige juridiske problemer og overholdelsesproblemer for organisasjoner. Avhengig av arten av de stjålne dataene, kan organisasjoner bli underlagt regulatoriske bøter og rettslige skritt. Å betale løsepenger kan virke som en måte å unngå disse potensielle konsekvensene på.
• Offentlig skam: Noen løsepengevaregrupper bruker datalekkasjetrusler som en taktikk for å skamme ofrene sine offentlig. De kan lekke en del av de stjålne dataene eller gi bevis på bruddet, noe som kan føre til negativ medieoppmerksomhet og offentlig sjenanse for offerorganisasjonen.
• Press for å betale raskt: Trusselen om datalekkasje kommer ofte med en stram tidsfrist, noe som tvinger ofrene til å ta raske avgjørelser. Dette haster kan føre til forhastede løsepenger for å forhindre dataeksponering.