EXISC Ransomware richt zich op bedrijven en bedrijven

Tijdens ons onderzoek naar nieuwe inzendingen op de VirusTotal-site, kwamen we een ransomware-programma tegen met de naam EXISC. Het primaire doel is om gegevens te versleutelen en betaling te eisen in ruil voor het ontsleutelen ervan.

Bij het uitvoeren van een voorbeeld van EXISC op ons testsysteem, zagen we dat het met succes bestanden versleutelde en een ".EXISC"-extensie aan hun oorspronkelijke bestandsnamen toevoegde. Een bestand met de naam "1.jpg" zou bijvoorbeeld worden omgezet in "1.jpg.EXISC", terwijl "2.png" zou worden "2.png.EXISC", enzovoort.

Na het coderingsproces genereerde EXISC een losgeldbrief met de titel "Please Contact Us To Restore.txt." Uit de inhoud van dit bericht bleek dat de ransomware zich vooral richt op grote organisaties en niet op individuele thuisgebruikers.

De losgeldbrief geeft aan het slachtoffer door dat het netwerk van hun bedrijf is gecompromitteerd. De omvang van de schade wordt als volgt geschetst: de bestanden zijn versleuteld en gevoelige of vertrouwelijke gegevens zijn gestolen.

Volgens de notitie moet het slachtoffer losgeld betalen om weer toegang te krijgen tot hun bestanden en te voorkomen dat de geëxfiltreerde inhoud wordt gelekt. Hoewel het exacte bedrag van het losgeld niet wordt gespecificeerd, wordt expliciet vermeld dat de betaling moet worden gedaan in Bitcoin- of Monero-cryptocurrencies.

Bovendien suggereert de notitie dat een bepaald aantal bestanden kan worden verzonden voor een testdecodering. Dit moet voor het slachtoffer dienen als bewijs dat gegevensherstel inderdaad mogelijk is.

EXISC-losgeldnota verwacht contact via Tox

De volledige tekst van de EXISC-losgeldbrief luidt als volgt:

Hallo, de computer van uw bedrijf is door mij versleuteld en de database en gegevens zijn gedownload. Als u niet wilt dat ik deze materialen openbaar maak, moet u mij losgeld betalen. Nadat ik het losgeld heb ontvangen, zal ik alle gedownloade bestanden verwijderen en u helpen uw computer te ontsleutelen. Als we dat wel doen, zullen we deze materialen vrijgeven en zal uw bedrijf te maken krijgen met ongekende repercussies.

We werken alleen voor geld en vernietigen je netwerk niet, en we zijn heel eerlijk. Nadat we het losgeld hebben ontvangen, zullen we u ook informatie geven over de kwetsbaarheid van uw systeem om u te helpen de kwetsbaarheid te verhelpen en nieuwe aanvallen te voorkomen.

Als je twijfelt aan ons vermogen om bestanden te decoderen, kun je me wat gecodeerde bestanden sturen en ik zal ze decoderen om het te bewijzen.

Betaal het losgeld in Bitcoin of Monero.

Gebruik alstublieft TOX om contact met mij op te nemen of mij een e-mail te sturen.

E-mail: HonestEcoZ@dnmx.org

TOX ID:(alfanumerieke tekenreeks)
TOX-download: hxxps://tox.chat/download.html

Wat zijn de meest voorkomende infectievectoren voor ransomware zoals EXISC?

Ransomware zoals EXISC gebruikt verschillende infectievectoren om systemen en netwerken te infiltreren. Hieronder volgen enkele van de meest voorkomende infectievectoren die door ransomware worden gebruikt:

• Phishing-e-mails: phishing-e-mails blijven een veelgebruikte methode om ransomware te verspreiden. Cybercriminelen maken overtuigende e-mails die legitiem lijken, waarbij ze zich vaak voordoen als vertrouwde entiteiten of individuen. Deze e-mails bevatten schadelijke bijlagen of ingesloten links die, wanneer erop wordt geklikt of geopend, het ransomware-infectieproces starten.
• Schadelijke downloads en bijlagen: Ransomware kan onbedoeld worden gedownload van kwaadwillende websites of via geïnfecteerde bestandsbijlagen. Dit kan gebeuren wanneer gebruikers gecompromitteerde websites bezoeken of e-mailbijlagen openen die uitvoerbare bestanden, macro's of op scripts gebaseerde payloads bevatten.
• Exploitkits: Exploitkits zijn kwaadaardige tools die misbruik maken van softwarekwetsbaarheden in webbrowsers, plug-ins of besturingssystemen. Door deze kwetsbaarheden te misbruiken, kan ransomware ongemerkt op het systeem van een slachtoffer worden afgeleverd wanneer deze een gecompromitteerde website bezoekt of op een schadelijke advertentie klikt.
• Remote Desktop Protocol (RDP)-aanvallen: Ransomware-operators richten zich vaak op systemen met blootgestelde of zwak beveiligde Remote Desktop Protocol-verbindingen. Ze gebruiken brute force-technieken om ongeoorloofde toegang te krijgen en de ransomware te installeren.
• Softwarekwetsbaarheden: Ransomware kan ongepatchte of verouderde softwarekwetsbaarheden misbruiken om systemen te infiltreren. Dit omvat kwetsbaarheden in besturingssystemen, applicaties of netwerkdiensten, waardoor de ransomware ongeoorloofde toegang kan krijgen en zijn payload kan uitvoeren.
• Malvertising: Kwaadaardige advertenties, of malvertisings, zijn te vinden op legitieme websites of advertentienetwerken. Deze advertenties bevatten verborgen scripts die gebruikers omleiden naar kwaadaardige websites die ransomware hosten of automatische downloads van de ransomware-payload activeren.
• Drive-by-downloads: Drive-by-downloads vinden plaats wanneer ransomware automatisch wordt gedownload zonder toestemming of interactie van de gebruiker, meestal vanaf gecompromitteerde websites. Deze websites bevatten schadelijke code die misbruik maakt van kwetsbaarheden in de webbrowser of plug-ins van de gebruiker, waardoor de ransomware geruisloos kan worden afgeleverd.