Wat is ChocVM-ransomware?

Er is onlangs een nieuwe ransomwarevariant opgedoken genaamd ChocVM, geassocieerd met de Makop-familie. Deze kwaadaardige software codeert bestanden, wijzigt bureaubladachtergronden, wijzigt bestandsnamen en laat een opvallende losgeldbrief achter in een bestand met de naam "+README-WARNING+.txt."

Bestandscodering en hernoeming

ChocVM gebruikt een unieke benadering voor het hernoemen van bestanden door een reeks willekeurige tekens, het e-mailadres "xakep@dark-forum.ru" en de bestandsextensie ".chocolate" toe te voegen. Een bestand als "1.jpg" wordt bijvoorbeeld omgezet in "1.jpg.[2AF20FA3].[xakep@dark-forum.ru].chocolate."

Overzicht ChocVM losgeldbriefje

De losgeldbrief achtergelaten door ChocVM verduidelijkt dat de bestanden van het slachtoffer zijn gecodeerd zonder de bestandsstructuur te wijzigen. Om weer toegang te krijgen tot hun bestanden, moeten de slachtoffers losgeld betalen. De aanvaller benadrukt dat het om een zakelijke transactie gaat, waarbij geen rekening wordt gehouden met de belangen van het slachtoffer. Er wordt een bijzonder aanbod gedaan om twee kleine bestanden met eenvoudige extensies gratis te decoderen, waarbij contactgegevens worden verstrekt via e-mailadressen: xakep@dark-forum.ru of hackr@dark-forum.ru.

De losgeldbrief luidt als volgt:

::: Greetings ChocVM :::

Little FAQ:

.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc... not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

.4.
Q: How to contact with you?
A: You can write us to our mailboxes: xakep@dark-forum.ru or hackr@dark-forum.ru

.5.
Vraag: Hoe verloopt het decoderingsproces na betaling?
A: Na betaling sturen wij u ons scanner-decoderprogramma en gedetailleerde gebruiksinstructies. Met dit programma kunt u al uw gecodeerde bestanden decoderen.

.6.
Vraag: Als ik slechte mensen zoals jij niet wil betalen?
A: Als u niet meewerkt aan onze service, maakt dat voor ons niet uit. Maar u verliest uw tijd en gegevens, omdat alleen wij de privésleutel hebben. In de praktijk is tijd veel waardevoller dan geld.

:::PAS OP:::
Probeer NIET zelf gecodeerde bestanden te wijzigen!
Als u software van derden probeert te gebruiken voor het herstellen van uw gegevens of antivirusoplossingen, maak dan een back-up van alle gecodeerde bestanden!
Eventuele wijzigingen in gecodeerde bestanden kunnen schade aan de privésleutel met zich meebrengen en, als gevolg daarvan, het verlies van alle gegevens.

Details over losgeldbetaling

Na betaling belooft de aanvaller een decoderingsprogramma te leveren, samen met gedetailleerde instructies voor het decoderen van bestanden. De notitie waarschuwt expliciet voor pogingen tot onafhankelijk bestandsherstel, waarbij wordt beweerd dat dergelijke acties de privésleutel kunnen beschadigen en tot onomkeerbaar gegevensverlies kunnen leiden.

Inzichten in ransomwarebedreigingen: een overzicht

Wanneer individuen het slachtoffer worden van ransomware-aanvallen, worden ze gedwongen cybercriminelen te betalen voor decoderingstools. Meestal omvatten de alternatieven het online zoeken naar gratis decoderingstools of het gebruik van gegevensback-ups. Het betalen van losgeld wordt echter sterk afgeraden vanwege de onzekerheid over de betrouwbaarheid van cybercriminelen bij het leveren van de beloofde decoderingstools.

Onmiddellijke actie tegen ransomware

Het is van cruciaal belang om ransomware snel te elimineren van besmette apparaten, omdat de malware verdere versleutelingen kan initiëren en zich via lokale netwerken kan verspreiden, wat kan leiden tot de versleuteling van bestanden op onderling verbonden computers.

Ransomware-landschap

Ransomware-aanvallen kunnen variëren qua leveringsmethoden en doelwitten, maar de constante vraag naar betaling in ruil voor het decoderen van gegevens, het hernoemen van bestanden en het presenteren van een losgeldbrief blijft bestaan. Voorbeelden van andere ransomwarevarianten zijn BO Team, Cdmx en Tprc.

Ransomware-infecties begrijpen: oorzaken en preventie

Infectiemethoden

Ransomware infiltreert vaak systemen via misleidende e-mails met kwaadaardige bijlagen of links. Onoplettende gebruikers kunnen onbedoeld downloads en uitvoeringen starten door op deze links te klikken of bijlagen te openen. Trojaanse paarden zijn een ander hulpmiddel dat wordt gebruikt om kwaadaardige ladingen af te leveren, waaronder ransomware. Bedreigingsactoren maken ook misbruik van kanalen zoals P2P-netwerken, kwaadaardige advertenties, softwarekwetsbaarheden, illegale software en meer.

Beschermende maatregelen

Om zich te beschermen tegen ransomware-infecties, wordt gebruikers geadviseerd om regelmatig updates voor het besturingssysteem en de geïnstalleerde apps te installeren. Het gebruik van gerenommeerde antivirus- of antimalwaresoftware, voorzichtigheid betrachten met e-mails van onbekende bronnen, het vermijden van risicovolle websites en het niet downloaden van bestanden van onbetrouwbare bronnen zijn essentiële preventieve maatregelen.

Omgaan met ChocVM-infectie

Als een computer al is geïnfecteerd met ChocVM, wordt aanbevolen een anti-malwareprogramma te gebruiken om deze ransomware-dreiging automatisch te verwijderen.