LockFile Ransomware compromitteert Microsoft Exchange-servers
De afgelopen maanden hebben cybercriminelen zich actief gericht op Microsoft Exchange-servers. Meerdere makers van malware en ransomware-exploitanten misbruiken recente kwetsbaarheden om exploiteerbare servers over te nemen en vervolgens hun schadelijke apps erop te installeren. Een van de nieuwste kwetsbaarheden die criminelen misbruiken, is ProxyShell en helaas zijn hun pogingen tot nu toe succesvol geweest. De bende achter de LockFile Ransomware misbruikt deze exacte kwetsbaarheden om de gevaarlijke Trojan voor bestandscodering uit te voeren.
De ProxyShell-kwetsbaarheden kwamen een paar maanden geleden voor het eerst aan het licht en werden in mei officieel gepatcht door Microsoft. Er zijn echter nog tal van niet-gepatchte Microsoft Exchange-servers die openstaan voor internet. De criminelen gebruiken speciale tools om het web te scannen en servers te vinden met de verouderde versies die nog steeds de ProxyShell-kwetsbaarheden bevatten. Een andere ransomware-familie die recentelijk achter Microsoft Exchange-servers aan gaat, is de Epsilon Red Ransomware .
Hoe is de LockFile Ransomware geplant?
Zodra de aanvallers een Microsoft Exchange Server met succes exploiteren, plaatsen ze een voorheen onbekende webshell. Het stelt hen in staat om op afstand commando's uit te voeren en verschillende functies te controleren op de systemen die ze compromitteren. In dit geval is het primaire doel van de webshell natuurlijk om te zorgen voor een soepele uitvoering van de LockFile Ransomware.
Zodra de file-locker aan het werk gaat, versleutelt het snel de inhoud van waardevolle bestanden die op de machine zijn opgeslagen. De dreiging voegt de extensie '.lockfile' toe aan bestanden die het beschadigt, en laat ook een losgeldbriefje achter om het slachtoffer instructies te geven. Het bericht bevat meestal de naam van het slachtoffer -
- Slachtoffers die binnen 24 uur betalen krijgen 50% korting.
- Van slachtoffers die niet binnen 48 uur betalen, worden hun bestanden permanent verwijderd.
Het is niet duidelijk of de aanvallers bluffen of niet. Ze adviseren hun slachtoffers om contact met hen op te nemen via de e-mail contact@contipauper.com of via de Tox-berichtenclient. Het is een slecht idee om te proberen samen te werken met criminelen. Ze geven je geen reden om ze te vertrouwen, en het zou heel gemakkelijk voor hen zijn om je geld af te troggelen. Slachtoffers van de LockFile Ransomware moeten een antivirusprogramma gebruiken om de malware te beëindigen en vervolgens hun bestanden te herstellen via een back-up.
