Reload Ransomware is gebaseerd op Makop
In onze analyse van de Reload-malware hebben we vastgesteld dat deze tot de Makop-familie behoort en functioneert als ransomware, voornamelijk ontworpen voor bestandsversleuteling. Naast het versleutelen van gegevens, plaatst Reload ook een losgeldbrief met de naam "+README-WARNING+.txt", en wijzigt de bestandsnamen.
Reload voegt een reeks willekeurige tekens toe, vermoedelijk de ID van het slachtoffer, een e-mailadres en de extensie ".reload" aan de originele bestandsnamen. Het transformeert bijvoorbeeld "1.jpg" in "1.jpg.[2AF20FA3].[reload2024@outlook.com].reload" en "2.png" in "2.png.[2AF20FA3].[reload2024@ Outlook.com].reload", enzovoort.
De losgeldbrief begint met een duidelijke verklaring die aangeeft dat alle bestanden zijn gecodeerd en nu de extensie ".reload" hebben. Het onderstreept de urgentie om snel contact op te nemen met de aanvallers om te voorkomen dat de gecodeerde bestanden op internet worden gepubliceerd. In de notitie wordt het e-mailadres reload2024@outlook.com vermeld voor communicatiedoeleinden.
Bovendien wordt in de nota een dreiging van permanent bestandsverlies geuit als slachtoffers er niet in slagen rechtstreeks contact op te nemen met de aanvallers voor bestandsherstel, waarbij expliciet het gebruik van intermediaire bedrijven of internetprogramma's voor herstelpogingen wordt ontmoedigd.
Herlaad de losgeldbrief volledig
De volledige tekst van de door Reload gegenereerde losgeldbrief luidt als volgt:
Your files are encrypted and stolen, all encrypted files have the extension .reload
To restore your files so that they are not published on the Internet, you need to contact us as soon as possible!
Our contact email address: reload2024@outlook.com
Your files may be published on the Internet if you ignore this message.
You will lose your files if you do not write to us to recover your files!
You will lose your files forever if you use intermediary companies and programs from the Internet to recover your files!
Hoe wordt Ransomware Like Reload online gedistribueerd?
Reload wordt, net als veel andere varianten van ransomware, doorgaans online verspreid via verschillende methoden die erop gericht zijn kwetsbaarheden te misbruiken of gebruikers te misleiden om kwaadaardige inhoud te downloaden en uit te voeren. Hier zijn veelgebruikte distributiemethoden voor ransomware zoals Reload:
Phishing-e-mails: Cybercriminelen gebruiken vaak phishing-e-mails om ransomware te bezorgen. Deze e-mails kunnen legitiem lijken en kwaadaardige bijlagen of links bevatten. In het geval van Reload kunnen gebruikers ertoe worden verleid een bijlage te openen, zoals een ogenschijnlijk onschadelijk document of bestand, wat vervolgens het installatieproces van de malware activeert.
Schadelijke websites: Het bezoeken van gecompromitteerde of kwaadaardige websites kan leiden tot het onbedoeld downloaden en installeren van ransomware. Cybercriminelen kunnen kwetsbaarheden in browsers of plug-ins misbruiken om de kwaadaardige lading af te leveren.
Exploitkits: Cyberaanvallers kunnen exploitkits gebruiken om bekende kwetsbaarheden in software, besturingssystemen of browsers aan te pakken. Wanneer een gebruiker een gecompromitteerde website bezoekt, scant de exploitkit op kwetsbaarheden en levert de ransomware-payload als er een geschikte kwetsbaarheid wordt gevonden.
Drive-By-downloads: Het onbewust downloaden van kwaadaardige inhoud tijdens het bezoeken van websites, vaak via pop-ups of automatische downloads, kan resulteren in de installatie van ransomware. Gebruikers zijn zich mogelijk niet bewust van deze downloads, waardoor de malware gemakkelijker het systeem kan infiltreren.
Schadelijke advertenties (malvertising): Cybercriminelen kunnen online advertenties gebruiken om ransomware te verspreiden. Als u op een geïnfecteerde advertentie klikt, kunnen gebruikers worden omgeleid naar een site waarop de malware wordt gehost of kan een automatische download worden geactiveerd.
Gecompromitteerde software: Aanvallers kunnen legitieme software-installatieprogramma's of -updates in gevaar brengen en er ransomware in injecteren voordat gebruikers de schijnbaar authentieke software downloaden en installeren.
