Wat is de DarkBit-ransomware?

Tijdens het onderzoeken van nieuwe malwarestammen kwam ons team DarkBit tegen - een ransomware die werkt door gegevens te versleutelen en losgeld te eisen voor ontsleuteling. Bij het starten van een voorbeeld van DarkBit, begint het onmiddellijk met het versleutelen van bestanden en het hernoemen ervan met een willekeurige tekenreeks en de extensie ".Darkbit".

Nadat het versleutelingsproces was voltooid, maakte DarkBit een losgeldnotitie met de naam "RECOVERY_DARKBIT.txt" en liet deze op het bureaublad achter. In tegenstelling tot andere losgeldbrieven, begon het bericht van DarkBit met een politieke tirade, wat impliceert dat de ransomware bedoeld was om grote entiteiten zoals bedrijven aan te vallen in plaats van thuisgebruikers.

Volgens het losgeldbriefje werden de bestanden versleuteld met behulp van het AES-256 cryptografische algoritme en werden gevoelige gegevens geëxfiltreerd. De notitie waarschuwt slachtoffers tegen het gebruik van hersteltools of -services van derden, wat kan leiden tot permanent gegevensverlies.

De aanvallers eisen een losgeld van 80 BTC (Bitcoin cryptocurrency) voor de decoderingssleutels/tools, wat overeenkomt met ongeveer 1,7 miljoen USD (afhankelijk van wisselkoersen). Het losgeldbedrag is een indicatie dat de ransomware doorgaans niet wordt ingezet tegen thuisgebruikers. De notitie geeft ook aan dat als er binnen 48 uur geen actie wordt ondernomen, het losgeldbedrag met 30% zal stijgen en vijf dagen later zullen de aanvallers de gestolen gegevens te koop aanbieden.

De DarkBit-losgeldbrief wordt politiek

De volledige tekst van het bestand "RECOVERY_DARKBIT.txt" dat de losgeldbrief bevat, luidt als volgt:

Beste collega's,
Het spijt ons u te moeten meedelen dat we het Technion-netwerk volledig hebben moeten hacken en "alle" gegevens naar onze beveiligde servers hebben moeten overbrengen.
Dus blijf kalm, haal diep adem en denk aan een apartheidsregime dat hier en daar voor problemen zorgt.
Ze moeten boeten voor hun leugens en misdaden, hun namen en schande. Ze zouden moeten boeten voor bezetting, oorlogsmisdaden tegen de menselijkheid,
het doden van de mensen (niet alleen de lichamen van Palestijnen, maar ook de zielen van Israëli's) en het vernietigen van de toekomst en alle dromen die we hadden.
Ze zouden moeten betalen voor het ontslaan van hoogopgeleide experts.

Hoe dan ook, er is niets om je (als individu) zorgen over te maken.
Dat is de taak van de administratie om onze instructie voor het herstellen van het netwerk op te volgen.
Maar u kunt contact met ons opnemen via TOX-messenger als u uw bestanden persoonlijk wilt herstellen. (TOX-ID: AB33BC51AFAC64D98226826E70B483593C81CB22E6A3B504F7A75348C38C862F00042F5245AC)

Onze instructie voor de administratie:
Al uw bestanden worden versleuteld met het AES-256 algoritme van militaire kwaliteit. Dus,

1. Probeer geen gegevens te herstellen, want de versleutelde bestanden kunnen niet worden hersteld tenzij u de sleutel hebt.
   Elke poging om gegevens te herstellen zonder de sleutel (met behulp van applicaties/bedrijven van derden) veroorzaakt PERMANENTE schade. Neem het serieus.
2. Je moet ons vertrouwen. Dit is onze business (na ontslag bij hightechbedrijven) en de reputatie is alles wat we hebben.
3. Het enige dat u hoeft te doen, is de betalingsprocedure volgen en dan ontvangt u de decoderingssleutel waarmee u al uw bestanden en VM's kunt retourneren.
4. Betalingsmiddel:
   Voer de onderstaande link in
   hxxp://iw6v2p3cruy7tqfup3yl4dgt4pfibfa3ai4zgnu5df2q3hus3lm7c7ad.onion/support

Voer hieronder het ID in en betaal de rekening (80 BTC)

U ontvangt de decoderingssleutel na de betaling.

Merk op dat je maar 48 uur hebt. Na de deadline wordt een boete van 30% aan de prijs toegevoegd.
Na 5 dagen zetten we data te koop.
Neem het serieus en luister niet naar waarschijnlijke adviezen van een domme overheid.

Succes!
DonkerBit

Waarom kiezen sommige ransomware-varianten zoals DarkBit ervoor om bedrijven te targeten in plaats van thuisgebruikers?

Volgens de losgeldbrief achtergelaten door DarkBit lijkt het zich te richten op grote entiteiten zoals bedrijven in plaats van op thuisgebruikers. Hoewel de exacte motivaties van ransomware-auteurs kunnen verschillen, is een mogelijke reden om bedrijven te targeten het potentieel voor grotere uitbetalingen. Bedrijven hebben mogelijk waardevollere of gevoeligere gegevens dan individuele gebruikers en zijn mogelijk bereid een hoger losgeld te betalen om de verstoring en mogelijke wettelijke aansprakelijkheid als gevolg van een datalek te voorkomen. Bovendien hebben bedrijven mogelijk minder robuuste beveiligingsmaatregelen dan thuisgebruikers, waardoor ze kwetsbaarder zijn voor aanvallen. Het is echter belangrijk op te merken dat elke organisatie of persoon het doelwit kan zijn van een ransomware-aanval, ongeacht hun omvang of branche.