OlSaveLock Ransomware is een nieuwe MedusaLocker-variant

Tijdens een routinematige analyse van nieuwe schadelijke bestanden ontdekte ons team van onderzoekers de OlSaveLock-ransomware. Deze kwaadaardige software werkt door gegevens te versleutelen en losgeld te eisen in ruil voor ontsleuteling. OlSaveLock is met name een lid van de beruchte MedusaLocker-ransomwarefamilie.

In onze testomgeving versleutelde OlSaveLock effectief bestanden en voegde een duidelijke extensie ".olsavelock31" toe aan hun oorspronkelijke bestandsnamen. Een bestand met de naam "1.jpg" zou bijvoorbeeld verschijnen als "1.jpg.olsavelock31", terwijl "2.png" zou worden "2.png.olsavelock31", enzovoort. Het is belangrijk op te merken dat het specifieke nummer binnen de extensie kan variëren, afhankelijk van de variant van de ransomware. Bovendien plaatste OlSaveLock een losgeldbrief met de naam "How_to_back_files.html" op het bureaublad.

De inhoud van de losgeldbrief geeft duidelijk aan dat OlSaveLock zich in de eerste plaats richt op grote organisaties en niet op individuele thuisgebruikers. Volgens het bericht is het bedrijfsnetwerk van het slachtoffer gecompromitteerd. De omvang van de schade wordt beschreven als de versleuteling van cruciale bestanden met behulp van RSA- en AES-cryptografische algoritmen, samen met de ongeoorloofde extractie van gevoelige en persoonlijke gegevens.

In de notitie staat dat het betalen van het losgeld essentieel is voor het decoderen van de getroffen bestanden en het voorkomen van openbaarmaking of verkoop van de gestolen informatie. Alvorens de betaling uit te voeren, krijgt het slachtoffer de mogelijkheid om het decoderingsproces te testen op drie bestanden die geen waardevolle gegevens bevatten.

Hoewel het specifieke bedrag van het losgeld niet in de notitie wordt gespecificeerd, wordt gesuggereerd dat het bedrag zal stijgen als het slachtoffer er niet in slaagt om binnen 72 uur contact te leggen met de aanvallers. Bovendien wordt het slachtoffer expliciet gewaarschuwd dat elke poging om de gecodeerde bestanden te hernoemen of te wijzigen, evenals het gebruik van decoderingstools van derden, zal leiden tot permanent gegevensverlies.

OlSaveLock losgeldnota bedreigt losgeldstijging binnen 72 uur

De volledige tekst van de losgeldbrief van OlSaveLock luidt als volgt:

UW PERSOONLIJKE ID:

UW BEDRIJFSNET IS GEPOTEN
Al uw belangrijke bestanden zijn versleuteld!

Uw bestanden zijn veilig! Alleen gewijzigd. (RSA+AES)

ELKE POGING OM UW BESTANDEN TE HERSTELLEN MET SOFTWARE VAN DERDEN
ZAL HET PERMANENT CORRUPTEN.
WIJZIG GEEN VERSLEUTELDE BESTANDEN.
HERNOEM GEEN VERSLEUTELDE BESTANDEN.

Geen enkele software beschikbaar op internet kan u helpen. Wij zijn de enigen die dat kunnen
los je probleem op.

We hebben zeer vertrouwelijke/persoonlijke gegevens verzameld. Deze gegevens worden momenteel opgeslagen op
een eigen server. Deze server wordt na uw betaling direct vernietigd.
Als u besluit niet te betalen, zullen wij uw gegevens vrijgeven aan het publiek of aan wederverkopers.
U kunt dus verwachten dat uw gegevens in de nabije toekomst openbaar beschikbaar zullen zijn.

We zoeken alleen geld en ons doel is niet om uw reputatie te schaden of te voorkomen
uw bedrijf loopt niet meer.

U kunt ons 2-3 niet-belangrijke bestanden sturen en we zullen deze gratis decoderen
om te bewijzen dat we in staat zijn om uw bestanden terug te geven.

Neem contact met ons op voor de prijs en ontvang decoderingssoftware.

e-mail:
ithelp10@securitymy.name
ithelp10@yousheltered.com

• Om contact met ons op te nemen, maakt u een nieuw gratis e-mailaccount aan op de site: protonmail.com
  ALS U NIET BINNEN 72 UUR CONTACT MET ONS OPNEEMT, ZAL DE PRIJS HOGER ZIJN.

Hoe wordt ransomware zoals OlSaveLock meestal op het slachtoffersysteem afgeleverd?

De aflevering van ransomware zoals OlSaveLock op systemen van slachtoffers omvat meestal verschillende methoden en technieken. Hier volgen enkele veelvoorkomende manieren waarop ransomware gewoonlijk wordt afgeleverd:

• Phishing-e-mails: phishing-e-mails blijven een populaire methode om ransomware te bezorgen. Aanvallers sturen ogenschijnlijk legitieme e-mails met kwaadaardige bijlagen of links. Deze e-mails doen zich vaak voor als gerenommeerde organisaties en misleiden ontvangers om bijlagen te openen of op links te klikken die de ransomware naar hun systemen downloaden.
• Kwaadaardige downloads: Ransomware kan ook worden geleverd via kwaadaardige downloads van gecompromitteerde websites of misleidende advertenties (malvertising). Het bezoeken van gecompromitteerde websites of het klikken op kwaadaardige advertenties kan het automatisch downloaden en uitvoeren van de ransomware-payload activeren.
• Exploitkits: Exploitkits zijn toolkits die misbruik maken van kwetsbaarheden in software of besturingssystemen. Door zwakke punten in de beveiliging uit te buiten, kunnen ze geruisloos ransomware leveren en installeren op kwetsbare systemen zonder tussenkomst van de gebruiker. Deze kwetsbaarheden zijn te vinden in verouderde software of niet-gepatchte systemen.
• Remote Desktop Protocol (RDP)-aanvallen: Aanvallers kunnen zich richten op systemen waarop het Remote Desktop Protocol (RDP) is ingeschakeld, maar die zwakke of gemakkelijk te raden inloggegevens hebben. Ze proberen ongeoorloofde toegang tot het systeem te krijgen en zetten vervolgens de ransomware in.
• Kwaadaardige links en websites: Ransomware kan worden verspreid via kwaadaardige links die worden gedeeld via sociale media, instant messaging-platforms of gecompromitteerde websites. Het klikken op deze links of het bezoeken van geïnfecteerde websites kan het downloaden en uitvoeren van de ransomware activeren.
• Drive-by-downloads: Drive-by-downloads vinden plaats wanneer ransomware automatisch wordt gedownload en geïnstalleerd zonder medeweten of tussenkomst van de gebruiker tijdens het bezoeken van een gecompromitteerde of kwaadaardige website. Door misbruik te maken van kwetsbaarheden in browsers of plug-ins, wordt de ransomware heimelijk afgeleverd.

Het is belangrijk op te merken dat deze leveringsmethoden kunnen evolueren en dat er in de loop van de tijd nieuwe technieken kunnen ontstaan. Ter bescherming tegen ransomware-aanvallen is het van cruciaal belang om up-to-date beveiligingssoftware te onderhouden, regelmatig patches en updates toe te passen, voorzichtig te zijn bij het openen van e-mailbijlagen of het klikken op links, en sterke toegangscontroles en beveiligingsmaatregelen op systemen en netwerken te implementeren. Regelmatige gegevensback-ups en gebruikerseducatie over het herkennen en vermijden van potentiële bedreigingen spelen ook een cruciale rol bij het verminderen van de impact van ransomware-aanvallen.