SULINFORMATICA Ransomware probeert dubbele afpersing

Onze onderzoekers kwamen SULINFORMATICA, een type ransomware, tegen tijdens een routineonderzoek van nieuwe bestandsinzendingen. Deze kwaadaardige software is speciaal ontworpen om gegevens te versleutelen en betaling te eisen voor de ontsleuteling ervan.

Bij het testen van SULINFORMATICA op ons evaluatiesysteem ging het verder met het coderen van de bestanden en werd een ".aes"-extensie aan hun bestandsnamen toegevoegd. Een bestand dat oorspronkelijk "1.jpg" heette, werd bijvoorbeeld omgezet in "1.jpg.aes", en "2.png" werd "2.png.aes", enzovoort.

Nadat het coderingsproces was voltooid, werd een losgeldbericht met de naam "Instruction.txt" gegenereerd. Uit de tekst in dit bericht wordt duidelijk dat deze ransomware zich primair richt op bedrijven en niet op individuele gebruikers. SULINFORMATICA hanteert eveneens een dubbele afpersingsstrategie.

Het losgeldbriefje van SULINFORMATICA informeert het slachtoffer dat het netwerk van hun bedrijf is gecompromitteerd. Tijdens de aanval werden de bestanden van het slachtoffer versleuteld. Het bericht verzekert dat volledig herstel mogelijk is door middel van decodering. Bovendien waarschuwt het dat vitale databases, documenten en andere bestanden uit het netwerk zijn gestolen.

Het slachtoffer wordt sterk aangemoedigd om snel onderhandelingen te starten. Als er niet binnen 24 uur contact wordt gelegd met de aanvallers, zal dit een nadelig effect hebben op het onderhandelingsproces. Het bericht suggereert dat het niet voldoen aan de eisen van de cybercriminelen niet alleen zal resulteren in permanent ontoegankelijke bestanden, maar ook in het vrijgeven van de gestolen bedrijfsgegevens.

SULINFORMATICA Losgeldbrief volledig

De volledige tekst van het SULINFORMATICA-losgeldbriefje luidt als volgt:

Hello. I SULINFORMATICA. Your infrastructure has been hit and all files are encrypted. Be warned - this is complex multi-threaded encryption. All your files are intact, they will be fully accessible after decryption. All important files/documents/databases have been downloaded from your network. They are securely hidden and stored in order to further work with your company data. We suggest that you start negotiations to resolve the situation. You can get all the information on decryption at the contacts listed below. You can get all the information on the company's data and return it to you / or remove it from public access at the contacts listed below. We also inform you that every 24 hours delays will worsen the negotiating position. Contact us as soon as possible, we are ready to help and waiting for you. SULINFORMATICA@proton.me brazil-sulin@tutanota.com Or qTox messenger (available 24/7): (alphanumeric string)

Waarom gebruiken ransomware-actoren dubbele afpersing?

Ransomware-actoren gebruiken dubbele afpersingstactieken om verschillende strategische redenen:

• Grotere invloed: Dubbele afpersing geeft ransomware-exploitanten een grotere invloed op hun slachtoffers. Naast het versleutelen van de gegevens van het slachtoffer dreigen ze ook gevoelige of vertrouwelijke informatie vrij te geven aan het publiek, wat mogelijk aanzienlijke schade kan toebrengen aan de reputatie, de financiële stabiliteit of de juridische status van het slachtoffer. Deze extra dreiging zorgt ervoor dat slachtoffers eerder geneigd zijn het losgeld snel te betalen.
• Diversificatie van inkomsten: Door gegevens te stelen en betaling te eisen, niet alleen voor de decodering, maar ook voor het niet openbaar maken van gestolen informatie, kunnen ransomware-actoren hun inkomstenstromen diversifiëren. Hierdoor kunnen ze geld onttrekken aan slachtoffers die misschien terughoudend zijn om losgeld te betalen voor gegevensherstel, maar wel bereid zijn te betalen om de openbaarmaking van gevoelige gegevens te voorkomen.
• Verhoogde druk: Dubbele afpersing creëert extra druk op de slachtoffers om aan de eisen van de aanvallers te voldoen. Slachtoffers worden geconfronteerd met het vooruitzicht niet alleen de toegang tot hun gegevens te verliezen, maar ook te maken te krijgen met de gevolgen van datalekken, inclusief mogelijke wettelijke en regelgevende gevolgen. Deze extra druk kan slachtoffers ertoe aanzetten sneller beslissingen te nemen over het betalen van het losgeld.
• Aanpassing aan defensieve maatregelen: Naarmate organisaties hun cyberbeveiligingsverdediging verbeteren, hebben ransomware-actoren gezocht naar nieuwe tactieken om deze obstakels te overwinnen. Dubbele afpersing is zo'n aanpassing, omdat het misbruik maakt van het feit dat zelfs goed beschermde organisaties mogelijk niet in staat zijn gegevensdiefstal tijdens een ransomware-aanval te voorkomen.
• Verhoogde winstgevendheid: Dubbele afpersingsaanvallen kunnen winstgevender zijn voor ransomwaregroepen. Ze kunnen een hoger losgeldbedrag eisen omdat ze zowel decoderingssleutels bieden als de zekerheid dat gestolen gegevens niet openbaar worden gemaakt. Dit resulteert mogelijk in grotere uitbetalingen van de slachtoffers.