Alock Ransomware zal uw systeem vergrendelen

Tijdens een routinematige evaluatie van nieuwe ingezonden bestandsvoorbeelden, kwam onze onderzoeksgroep een type ransomware tegen dat bekend staat als Alock. Deze ransomware-variant is gekoppeld aan de MedusaLocker-ransomwarefamilie.

In onze testomgeving werkte de Alock-ransomware door bestanden te versleutelen en hun bestandsnamen te wijzigen met de extensie ".alock". Een bestand dat oorspronkelijk was gelabeld als "1.jpg" werd bijvoorbeeld "1.jpg.alock" na codering, en dit patroon breidde zich uit naar alle bestanden die waren vergrendeld.

Nadat de coderingsprocedure was voltooid, werd er een losgeldbrief met de naam "HOW_TO_BACK_FILES.html" gegenereerd. Uit de inhoud van dit bericht bleek dat Alock zich vooral richt op organisaties en niet op individuele gebruikers. Bovendien maakt deze ransomware gebruik van een strategie waarbij sprake is van dubbele afpersing.

De losgeldbrief ("HOW_TO_BACK_FILES.html") liet het slachtoffer weten dat hun bedrijfsnetwerk was geschonden. Vitale bestanden waren versleuteld en gevoelige of persoonlijke gegevens waren gestolen.

De versleuteling van de bestanden maakte gebruik van cryptografische algoritmen zoals RSA en AES, waardoor het onmogelijk was om ze te ontsleutelen zonder tussenkomst van de aanvallers. Het slachtoffer werd gewaarschuwd dat elke wijziging of hernoemen van de gecodeerde gegevens, of elke poging om deze te herstellen met behulp van software van derden, zou leiden tot een permanente decoderingsfout.

In de notitie werd verduidelijkt dat er losgeld moest worden betaald om de decodering te starten, en als er binnen 72 uur geen contact met de cybercriminelen werd opgenomen, zou dit leiden tot een escalatie van het geëiste bedrag. Alvorens aan de losgeldeisen te voldoen, had het slachtoffer de mogelijkheid om de decodering van een aantal bestanden te testen. Als het slachtoffer weigert te betalen, wordt de gecompromitteerde informatie openbaar gemaakt of te koop aangeboden.

Alock Ransom Note verhoogt de vraag naar losgeld binnen drie dagen

De volledige tekst van de losgeldbrief van Alock luidt als volgt:

UW PERSOONLIJKE ID:

UW BEDRIJFSNET IS GEPOTEN
Al uw belangrijke bestanden zijn versleuteld!

Uw bestanden zijn veilig! Alleen gewijzigd. (RSA+AES)

ELKE POGING OM UW BESTANDEN TE HERSTELLEN MET SOFTWARE VAN DERDEN
ZAL HET PERMANENT CORRUPTEN.
WIJZIG GEEN VERSLEUTELDE BESTANDEN.
HERNOEM GEEN VERSLEUTELDE BESTANDEN.

Geen enkele software beschikbaar op internet kan u helpen. Wij zijn de enigen die dat kunnen
los je probleem op.

We hebben zeer vertrouwelijke/persoonlijke gegevens verzameld. Deze gegevens worden momenteel opgeslagen op
een eigen server. Deze server wordt na uw betaling direct vernietigd.
Als u besluit niet te betalen, zullen wij uw gegevens vrijgeven aan het publiek of aan wederverkopers.
U kunt dus verwachten dat uw gegevens in de nabije toekomst openbaar beschikbaar zullen zijn.

We zoeken alleen geld en ons doel is niet om uw reputatie te schaden of te voorkomen
uw bedrijf loopt niet meer.

U kunt ons 2-3 niet-belangrijke bestanden sturen en we zullen deze gratis decoderen
om te bewijzen dat we in staat zijn om uw bestanden terug te geven.

Neem contact met ons op voor de prijs en ontvang decoderingssoftware.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion

Merk op dat deze server alleen beschikbaar is via de Tor-browser

Volg de instructies om de link te openen:

1. Typ het adres "hxxps://www.torproject.org" in uw internetbrowser. Het opent de Tor-site.
2. Druk op "Download Tor", druk vervolgens op "Download Tor Browser Bundle", installeer en voer het uit.
3. Nu heb je Tor-browser. Open qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion in de Tor-browser
4. Start een chat en volg de verdere instructies.

Als u de bovenstaande link niet kunt gebruiken, gebruik dan de e-mail:
ithelp02@securitymy.name
ithelp02@yousheltered.com

Om contact met ons op te nemen, maakt u een nieuw gratis e-mailaccount aan op de site: protonmail.com

ALS U NIET BINNEN 72 UUR CONTACT MET ONS OPNEEMT, ZAL DE PRIJS HOGER ZIJN.

Hoe kan ransomware zoals Alock uw computer infiltreren?

Ransomware zoals Alock kan uw computer infiltreren via verschillende methoden en aanvalsvectoren. Hier volgen enkele veelvoorkomende manieren waarop ransomware toegang tot uw systeem kan krijgen:

• Phishing-e-mails: een van de meest voorkomende methoden is via phishing-e-mails. Aanvallers sturen e-mails die legitiem lijken, vaak vermomd als een vertrouwde entiteit of met verleidelijke onderwerpregels en bijlagen. Deze bijlagen kunnen schadelijke payloads of links bevatten die, wanneer erop wordt geklikt, de ransomware downloaden en uitvoeren.
• Schadelijke websites en downloads: het bezoeken van gecompromitteerde of kwaadaardige websites kan ook leiden tot ransomware-infectie. Soms gebruiken aanvallers exploitkits die misbruik maken van kwetsbaarheden in uw browser of plug-ins om de ransomware zonder uw medeweten te leveren.
• Malvertising: aanvallers kunnen kwaadaardige code in legitieme online advertenties injecteren, waardoor gebruikers worden omgeleid naar websites die ransomware hosten. Door simpelweg op een gecompromitteerde advertentie te klikken, kan de ransomware worden gedownload en uitgevoerd.
• Geïnfecteerde software-installatieprogramma's: criminelen kunnen legitieme software-installatieprogramma's in gevaar brengen en ze bundelen met ransomware-payloads. Wanneer gebruikers deze geïnfecteerde applicaties downloaden en installeren, wordt de ransomware geactiveerd.
• Remote Desktop Protocol (RDP)-aanvallen: als uw computer RDP heeft ingeschakeld en slecht is beveiligd, kunnen aanvallers zwakke wachtwoorden of kwetsbaarheden misbruiken om externe toegang te krijgen en ransomware te installeren.
• Softwarekwetsbaarheden: Ransomware kan misbruik maken van bekende kwetsbaarheden in uw besturingssysteem, software of applicaties. Door uw software up-to-date te houden met de nieuwste beveiligingspatches, kunt u dit risico verkleinen.
• Social engineering: aanvallers kunnen gebruikers manipuleren om vrijwillig ransomware te downloaden en uit te voeren. Dit kan inhouden dat ze worden misleid om iets te installeren wat lijkt op een legitieme software-update of bestand.
• Schadelijke e-mailbijlagen: bijlagen in e-mails kunnen macro's of scripts bevatten die ransomware uitvoeren wanneer de bijlage wordt geopend. Dit is een gebruikelijke methode voor het verspreiden van ransomware.