BuSaveLock Ransomware versleutelt uw bestanden

Ons onderzoeksteam ontdekte onlangs een ransomware-variant genaamd BuSaveLock, die behoort tot de MedusaLocker-familie. Het primaire doel is om bestanden te versleutelen en betaling te eisen in ruil voor het ontsleutelen ervan. Bovendien bevat BuSaveLock een losgeldbrief ("How_to_back_files.html") en wijzigt het de bestandsnamen.

Om bestanden te hernoemen, voegt BuSaveLock een specifiek nummer samen met de extensie ".busavelock" toe aan de oorspronkelijke bestandsnamen. Het nummer binnen de extensie varieert afhankelijk van de specifieke variant van BuSaveLock. Een bestand met de oorspronkelijke naam "1.jpg" zou bijvoorbeeld worden gewijzigd in "1.jpg.busavelock53", terwijl "2.png" zou worden "2.png.busavelock53", enzovoort.

De bijbehorende losgeldbrief informeert het slachtoffer dat alle cruciale bestanden zijn versleuteld met behulp van RSA- en AES-coderingsmethoden. Het raadt ten zeerste af om te proberen de bestanden te herstellen met behulp van software van derden, omdat het beweert dat dergelijke pogingen de bestanden permanent zouden beschadigen. Bovendien instrueert de notitie de slachtoffers om de versleutelde bestanden niet te wijzigen of te hernoemen.

In de losgeldbrief wordt stoutmoedig beweerd dat geen enkele software die beschikbaar is op internet kan helpen bij het oplossen van het probleem, en benadrukt dat de aanvallers de exclusieve mogelijkheid hebben om de bestanden te decoderen. Het stelt verder dat de aanvallers toegang hebben gekregen tot zeer gevoelige en persoonlijke gegevens, die momenteel op een privéserver zijn opgeslagen. Als de slachtoffers weigeren te betalen, dreigen de aanvallers de gegevens openbaar te maken of te verkopen aan andere partijen.

Als demonstratie van hun vermogen om de versleutelde bestanden te herstellen, vermeldt de notitie dat de cybercriminelen aanbieden om 2-3 niet-belangrijke bestanden gratis te ontsleutelen. De notitie bevat contactgegevens voor communicatie, waaronder twee e-mailadressen: ithelp11@securitymy.name en ithelp11@yousheltered.com.

De losgeldbrief eindigt met een waarschuwing dat als u niet binnen 72 uur contact opneemt met de aanvallers, dit zal resulteren in een hogere prijs voor de decoderingssoftware.

BuSaveLock losgeldbrief dreigt gestolen informatie te lekken

De volledige tekst van de losgeldbrief van BuSaveLock luidt als volgt:

UW PERSOONLIJKE ID:

UW BEDRIJFSNET IS GEPOTEN
Al uw belangrijke bestanden zijn versleuteld!

Uw bestanden zijn veilig! Alleen gewijzigd. (RSA+AES)

ELKE POGING OM UW BESTANDEN TE HERSTELLEN MET SOFTWARE VAN DERDEN
ZAL HET PERMANENT CORRUPTEN.
WIJZIG GEEN VERSLEUTELDE BESTANDEN.
HERNOEM GEEN VERSLEUTELDE BESTANDEN.

Geen enkele software beschikbaar op internet kan u helpen. Wij zijn de enigen die dat kunnen
los je probleem op.

We hebben zeer vertrouwelijke/persoonlijke gegevens verzameld. Deze gegevens worden momenteel opgeslagen op
een eigen server. Deze server wordt na uw betaling direct vernietigd.
Als u besluit niet te betalen, zullen wij uw gegevens vrijgeven aan het publiek of aan wederverkopers.
U kunt dus verwachten dat uw gegevens in de nabije toekomst openbaar beschikbaar zullen zijn.

We zoeken alleen geld en ons doel is niet om uw reputatie te schaden of te voorkomen
uw bedrijf loopt niet meer.

U kunt ons 2-3 niet-belangrijke bestanden sturen en we zullen deze gratis decoderen
om te bewijzen dat we in staat zijn om uw bestanden terug te geven.

Neem contact met ons op voor de prijs en ontvang decoderingssoftware.

e-mail:
ithelp11@securitymy.name
ithelp11@yousheltered.com

• Om contact met ons op te nemen, maakt u een nieuw gratis e-mailaccount aan op de site: protonmail.com
  ALS U NIET BINNEN 72 UUR CONTACT MET ONS OPNEEMT, ZAL DE PRIJS HOGER ZIJN.

Hoe kan ransomware zoals BuSaveLock uw systeem infiltreren?

Ransomware zoals BuSaveLock kan uw systeem op verschillende manieren infiltreren, waaronder:

E-mailbijlagen: Een veelgebruikte methode is via kwaadaardige e-mailbijlagen. Hackers vermommen ransomware als onschuldig ogende bestanden, zoals documenten of pdf's, en sturen ze als e-mailbijlagen. Als u onbewust de bijlage opent en downloadt, wordt de ransomware op uw systeem uitgevoerd.

Kwaadaardige links: Ransomware kan ook worden verspreid via phishing-e-mails of berichten die links naar geïnfecteerde websites bevatten. Het klikken op deze links kan leiden tot het downloaden en uitvoeren van ransomware op uw systeem.

Exploitkits: Cybercriminelen kunnen misbruik maken van kwetsbaarheden in verouderde software of besturingssystemen. Door exploitkits te gebruiken, kunnen ze automatisch ransomware op uw systeem afleveren wanneer u gecompromitteerde websites bezoekt of op schadelijke advertenties klikt.

Schadelijke downloads: Ransomware kan verborgen zijn in ogenschijnlijk onschuldige downloads van niet-vertrouwde of gecompromitteerde websites. Dit kunnen softwarecracks, sleutelgeneratoren of illegale inhoud zijn, waarbij de payload van de ransomware wordt gebundeld met de beoogde download.

Remote Desktop Protocol (RDP)-kwetsbaarheden: als Remote Desktop Protocol op uw systeem is ingeschakeld en via internet toegankelijk is met zwakke of gecompromitteerde inloggegevens, kunnen aanvallers deze kwetsbaarheden misbruiken om ongeoorloofde toegang te krijgen en ransomware te installeren.

Malvertising: Kwaadaardige advertenties, ook wel bekend als malvertisings, kunnen op legitieme websites verschijnen. Deze advertenties kunnen schadelijke code bevatten die het downloaden en installeren van ransomware kan activeren wanneer erop wordt geklikt.

Drive-by downloads: Ransomware kan ook worden verspreid via drive-by downloads, die plaatsvinden wanneer u een gecompromitteerde website bezoekt die de ransomware automatisch downloadt en uitvoert zonder uw medeweten of tussenkomst.