Lorenz Ransomware Gang gaat achter ondernemingen in verschillende industrieën aan
Beroemde ransomwarebendes verleggen hun aandacht geleidelijk van gewone gebruikers naar bedrijven en ondernemingen. De nieuwste ransomwarebedreiging die deze aanpak toepast, is de Lorenz Ransomware, en helaas lijkt deze file-locker onmogelijk te kraken. Net als de DarkSide Ransomware-hackers, dreigen deze ook gestolen bestanden online vrij te geven als het slachtoffer niet akkoord gaat met het betalen van losgeld. Volgens onderzoekers lijkt het versleutelingsmechanisme van Lorenz Ransomware vergelijkbaar te zijn met het mechanisme dat wordt gebruikt door de ThunderCrypt Ransomware, een andere bestandsvergrendeling die meer dan twee jaar geleden voor het eerst opdook. De DarkSide Ransomware-bende trok onlangs internationale aandacht vanwege hun aanval op de in de VS gevestigde Colonial Pipeline .
Helaas lijken de operators van Lorenz Ransomware serieus te zijn over hun dreigementen om de gegevens van het slachtoffer online te publiceren - ze hebben al een website opgezet om de datalekken te publiceren, en de gegevens van meer dan tien slachtoffers worden daar vermeld.
Het is niet duidelijk hoe de Lorenz Ransomware de malware verspreidt en ervoor zorgt dat deze het beoogde slachtoffer bereikt. Tot nu toe gebruikt deze ransomwarebende twee afpersingstechnieken om geld van hun slachtoffer te krijgen: ze bieden aan om een decryptor te verkopen en ze dreigen hun bestanden online te lekken. De criminelen die bij deze campagne betrokken zijn, hebben echter ook besloten om een derde afpersingsmethode toe te passen: ze beweren toegang tot de gecompromitteerde netwerken te verkopen. Dit is nog een reden waarom het slachtoffer zou willen overwegen om het losgeld te betalen.
Naar verluidt voeren de criminelen de Lorenz Ransomware handmatig uit op het gecompromitteerde systeem - dit kan betekenen dat ze eerst vertrouwen op andere kwetsbaarheden of malware om toegang te krijgen tot het netwerk. De opdracht die ze gebruiken om de Lorenz Ransomware uit te voeren, bevat ook configuratie-informatie over de payload - procesnaam, naam van losgeldbrief, achtervoegsel dat moet worden gebruikt om vergrendelde bestanden te markeren, enz. Een van de slachtoffers had hun bestanden gemarkeerd met de '.Lorenz.xz40 ' bestandsextensie.
Nadat de aanval is voltooid, wordt de 'HELP_SECURITY_EVENT.html' losgeldbrief op het systeem gedropt. Het bevat een aangepaste op TOR gebaseerde betalingspagina voor elk slachtoffer - een van de pagina's vroeg om ongeveer 14 Bitcoin, of ongeveer $ 700.000. Tot nu toe hebben geen slachtoffers ervoor gekozen om het losgeld te betalen, dus het is een kwestie van tijd om te zien of de operators van Lorenz Ransomware uiteindelijk gegevens openbaar zullen maken of toegang zullen verkopen tot de gecompromitteerde netwerken.
