Rorschach Ransomware vergrendelt bestanden van slachtoffers

Ransomware genaamd Rorschach of BabLock wordt door cyberaanvallers gebruikt om bestanden te versleutelen, met name gericht op kleine en middelgrote bedrijven, maar ook op industriële bedrijven. Naast het versleutelen van gegevens, voegt deze malware ook een willekeurige reeks tekens en een tweecijferig getal toe aan het einde van bestandsnamen. Het hernoemt bijvoorbeeld "1.jpg" naar "1.jpg.slpqne.37", "2.png" naar "2.png.slpqne.39", enz. De toegevoegde reeks willekeurige tekens kan verschillen afhankelijk van de variant van ransomware.

Wanneer het systeem wordt gehackt, plaatst de Rorschach-ransomware een losgeldbrief op het bureaublad ("_r_e_a_d_m_e.txt") en verandert de bureaubladachtergrond. De losgeldbrief geeft aan dat gegevens zijn versleuteld, back-ups zijn verwijderd en vertrouwelijke informatie is gedownload door de hackers. Het adviseert slachtoffers ook om zich niet te melden bij de politie, de FBI of andere autoriteiten totdat het losgeld is betaald.

Bovendien ontmoedigt de losgeldbrief slachtoffers om contact op te nemen met bedrijven voor gegevensherstel, aangezien ze worden gezien als tussenpersonen die hen zullen misleiden. De notitie waarschuwt slachtoffers om niet te proberen bestanden te decoderen of de bestandsextensie te wijzigen, omdat dit zal leiden tot permanent gegevensverlies. De losgeldbrief bevat een e-mailadres voor slachtoffers om contact op te nemen met actoren van de dreiging en om verschillende bestanden te verzenden voor testontsleuteling.

De losgeldbrief eindigt met de dreiging dat als het losgeld niet wordt betaald, de cybercriminelen het bedrijf opnieuw zullen aanvallen en alle gegevens van hun netwerken zullen verwijderen.

Rorschach Ransom Note geeft aan dat de exploitanten bedrijven targeten

De volledige tekst van de Rorschach-losgeldbrief luidt als volgt:

Decryptie-ID: -

Hoi, aangezien je dit leest, betekent dit dat je gehackt bent.
Naast het versleutelen van al uw systemen en het verwijderen van back-ups, hebben we ook uw vertrouwelijke informatie gedownload.
Dit is wat u niet moet doen:
1) Neem voor het einde van onze deal contact op met de politie, fbi of andere autoriteiten.
2) Neem contact op met het bergingsbedrijf zodat zij met ons in gesprek gaan. (Dit kan het herstel vertragen en onze communicatie op nul zetten). Ga niet naar bergingsbedrijven, dit zijn in wezen slechts tussenpersonen die geld aan u zullen verdienen en u bedriegen. We zijn goed op de hoogte van gevallen waarin bergingsbedrijven u vertellen dat het losgeld 5 miljoen dollar is, maar in feite onderhandelen ze ons voor 1 miljoen dollar, dus verdienen ze 4 miljoen dollar aan jou. Als u ons rechtstreeks zou benaderen zonder tussenpersonen, zou u 5 keer minder betalen, dat is 1 miljoen dollar.
3) Probeer de bestanden niet zelf te decoderen en verander ook niet zelf de bestandsextensie !!! Dit kan leiden tot de onmogelijkheid van hun decryptie.

Dit is wat u direct na het lezen moet doen:
1) Als u een gewone werknemer bent, stuur dan ons bericht naar de CEO van het bedrijf, evenals naar de IT-afdeling.
2) Als u een CEO bent, of een specialist op de IT-afdeling, of een andere persoon die een belangrijke rol speelt in het bedrijf, dient u binnen 24 uur per e-mail contact met ons op te nemen.

Als u het losgeld niet betaalt, zullen we uw bedrijf in de toekomst opnieuw aanvallen. Over een paar weken zullen we onze aanval gewoon herhalen en al uw gegevens van uw netwerken verwijderen, WAT ZAL LEIDEN TOT HUN ONBESCHIKBAARHEID!

Als garantie dat we de bestanden kunnen decoderen, raden we u aan meerdere bestanden gratis te laten decoderen.
E-mails om contact met ons op te nemen (schrijf de decoderings-ID in de titel van uw bericht):
1)wvpater@onionmail.org
2)wvpater1@onionmail.org

Hoe wordt ransomware zoals Rorschach meestal verspreid?

Ransomware zoals Rorschach wordt meestal verspreid via phishing-e-mails, kwaadaardige bijlagen of links naar geïnfecteerde websites. De aanvallers kunnen social engineering-tactieken gebruiken om slachtoffers te misleiden zodat ze de malware downloaden en uitvoeren, zoals de ransomware vermommen als een legitieme software-update of een verleidelijke stimulans bieden in ruil voor het klikken op een link.

In sommige gevallen kunnen de aanvallers ook misbruik maken van kwetsbaarheden in verouderde software om toegang te krijgen tot het systeem van een slachtoffer en de ransomware te installeren. Het is belangrijk om uw besturingssysteem en alle software up-to-date te houden, antivirussoftware te gebruiken en op uw hoede te zijn voor verdachte e-mails en websites om het risico op besmetting met ransomware te verminderen.