HelloXD Ransomware gaat voor dubbele afpersing
Een onderzoeksteam van Palo Alto Networks heeft een relatief recente ransomware-stam uit elkaar gehaald. De ransomware heet HelloXD en werd voor het eerst gesignaleerd in de laatste maanden van 2021.
HelloXD is het type ransomwarebende die dubbele afpersing probeert en dreigt de gestolen gevoelige informatie van het slachtoffer te lekken als het losgeld niet wordt betaald. HelloXD gebruikt echter geen enkele gelekte donkere webpagina. In plaats daarvan biedt de bende directe onderhandelingen met het slachtoffer via gecodeerde Tox-chat.
In hun analyse ontdekten de onderzoekers van Palo Alto overeenkomsten in functionaliteit tussen HelloXD en de beruchte Babuk ransomware. Aanvallen met HelloXD gebruikten ook een backdoor-tool genaamd MicroBackdoor, die een aantal externe taken op het aangetaste systeem mogelijk maakt en de hackers de mogelijkheid geeft om de ransomware op het werk te observeren.
Eenmaal uitgevoerd op een doelsysteem, probeert HelloXD schaduwvolume-kopieën uit te schakelen om ervoor te zorgen dat herstel niet mogelijk is.
De auteur van de malware wordt verondersteld een hacker te zijn die een aantal handvatten gebruikt, waaronder "x4k" en "unKn0wn". De link werd tot stand gebracht via een ingebed IP-adres dat werd gevonden bij het uit elkaar halen van de achterdeur die werd gebruikt in combinatie met HelloXD.
Eenmaal versleuteld, ontvangen bestanden de extensie ".hello", waarbij het losgeldbriefje in "Hello.txt" wordt geplaatst. In zijn oorspronkelijke vorm bevatte het losgeldbriefje alleen een Tox-chat-ID om contact op te nemen met de makers van de ransomware.
