Meduza (MedusaLocker) løsepengeprogramvare

Meduza, som er en type løsepengevare fra MedusaLocker-familien, ble identifisert under vår analyse av skadevareprøver. Dens primære funksjon er å kryptere filer, og den legger til en spesifikk utvidelse (som ".meduza24") til filnavnene samtidig som den genererer en løsepengenotat kalt "How_to_back_files.html."

For å illustrere, når Meduza krypterer filer, gir den dem nytt navn som følger: "1.jpg" blir "1.jpg.meduza24", "2.png" endres til "2.png.meduza24," og så videre.

Løsepengene informerer offeret om at deres viktige filer er kryptert med RSA- og AES-krypteringsmetoder. Det fraråder sterkt alle forsøk på å gjenopprette disse filene ved hjelp av tredjepartsprogramvare, da dette kan føre til permanent korrupsjon. Det frarådes også å endre eller gi nytt navn til de krypterte filene.

I følge løsepengene kan ingen programvare tilgjengelig på nettet hjelpe til med dekryptering, og den eneste løsningen ligger hos angriperne. De hevder å ha samlet inn svært konfidensielle og personlige data, lagret på en privat server, som vil bli slettet ved mottak av betaling. Unnlatelse av å betale vil føre til at dataene blir offentliggjort eller solgt.

Notatet understreker at angriperne utelukkende er motivert av økonomisk vinning og ikke har til hensikt å skade mottakerens omdømme eller forretningsdrift. For å demonstrere deres evne til å dekryptere filer, tilbyr de å dekryptere 2-3 mindre viktige filer gratis på forespørsel.

Kontaktinformasjon for å forhandle løsepenger og skaffe dekrypteringsprogramvare gis via to e-postadresser (ithelp01@securitymy.name og ithelp01@yousheltered.com). Notatet anbefaler også å opprette en ny, gratis e-postkonto på protonmail.com for å etablere kontakt.

Etter en 72-timers frist øker løsepengebeløpet dersom offeret ikke klarer å kontakte angriperne. I tillegg er det en referanse til Tor-chat for løpende kommunikasjon.

Meduza løsepengenotat i sin helhet

Den fullstendige teksten til Meduza løsepenger lyder som følger:

DIN PERSONLIGE ID:

BEDRIFTSNETTVERKET ER PENETRERT
Alle dine viktige filer er kryptert!

Filene dine er trygge! Kun modifisert. (RSA+AES)

EVENTUELLE FORSØK PÅ Å GJENOPPE FILENE DINE MED TREDJEPARTSPROGRAMVARE
VIL PERMANENT KORRUPTERE DET.
IKKE ENDRE KRYPTERT FILER.
IKKE GI KRYPTERT FILER GJENNOMFØR.

Ingen programvare tilgjengelig på internett kan hjelpe deg. Vi er de eneste som kan
løse problemet ditt.

Vi samlet inn svært konfidensielle/personlige data. Disse dataene er for øyeblikket lagret på
en privat server. Denne serveren vil umiddelbart bli ødelagt etter betalingen din.
Hvis du bestemmer deg for å ikke betale, vil vi frigi dataene dine til offentlig eller videreselger.
Så du kan forvente at dataene dine blir offentlig tilgjengelig i nær fremtid.

Vi søker kun penger og målet vårt er ikke å skade omdømmet ditt eller forhindre
virksomheten din fra å kjøre.

Du kan sende oss 2-3 ikke-viktige filer, og vi vil dekryptere dem gratis
for å bevise at vi er i stand til å gi tilbake filene dine.

Kontakt oss for pris og få dekrypteringsprogramvare.

e-post:
ithelp01@securitymy.name
ithelp01@yousheltered.com
For å kontakte oss, opprett en ny gratis e-postkonto på nettstedet: protonmail.com
HVIS DU IKKE KONTAKTER OSS INNEN 72 TIMER, VIL PRISEN VÆRE HØYERE.

Tor-chat for alltid å være i kontakt:

Hvordan kan ransomware infisere datamaskinen din?

Ransomware kan infisere datamaskinen din gjennom ulike metoder, og den er ofte avhengig av sosial ingeniør-taktikk for å lure brukere til å starte infeksjonen. Her er noen vanlige måter løsepengevare kan infisere datamaskinen din:

• Ondsinnede e-postvedlegg: En av de vanligste metodene er gjennom phishing-e-poster. Angripere sender e-poster som virker legitime og kan inneholde vedlegg, for eksempel PDF-er eller Office-dokumenter, med innebygd ondsinnet kode. Når du åpner vedlegget, kjøres løsepengevaren.
• Ondsinnede lenker: Phishing-e-poster kan også inneholde lenker til ondsinnede nettsteder. Å klikke på disse koblingene kan føre til drive-by-nedlastinger, der løsepengevaren automatisk lastes ned og kjøres uten din viten.
• Falske programvareoppdateringer: Angripere kan lage falske programvareoppdateringsvarsler eller popup-vinduer som etterligner legitime oppdateringer for operativsystemet eller programvaren. Hvis du laster ned og installerer disse falske oppdateringene, kan du ubevisst installere løsepengeprogramvare.
• Infisert programvare: Noen ganger kompromitterer angripere legitime programvareinstallatører og injiserer løsepengevare i dem. Når du laster ned og installerer det som ser ut til å være et trygt program, installerer du løsepengevare ved et uhell.
• Malvertising: Ondsinnet reklame, eller malvertising, innebærer at nettkriminelle plasserer infiserte annonser på legitime nettsteder. Ved å klikke på disse annonsene kan du omdirigere deg til nettsteder som distribuerer løsepengeprogramvare.
• Remote Desktop Protocol (RDP)-angrep: Hvis RDP-en din er feil sikret, kan angripere utnytte sårbarheter for å få ekstern tilgang til datamaskinen din. Når de er inne, kan de installere løsepengevare.
• Utnyttelse av sårbarheter: Ransomware kan utnytte programvaresårbarheter i operativsystemet eller applikasjonene dine. Å holde programvaren oppdatert med de nyeste sikkerhetsoppdateringene bidrar til å beskytte mot denne metoden.
• Sosial teknikk: Angripere kan utgi seg for pålitelige enheter, som teknisk støtte eller kolleger, for å lure deg til å laste ned og kjøre filer som inneholder løsepengevare.