Watz Ransomware: nog een bedreiging van de Djvu-familie

Watz-ransomware is een andere variant binnen de Djvu-ransomwarefamilie, een beruchte groep die bekend staat om het versleutelen van de bestanden van slachtoffers en het eisen van losgeld. Andere bedreigingen uit deze groep zijn onder meer Oflg Ransomware , Bgzq Ransomware , Uzaq Ransomware en vele andere. De Watz-variant wijzigt specifiek de bestandsnamen door er de extensie ".watz" aan toe te voegen. Een bestand met de naam "document.doc" zou bijvoorbeeld "document.doc.watz" worden. Naast deze versleuteling laat de Watz-ransomware een losgeldbriefje achter met de titel "_readme.txt" op het geïnfecteerde systeem.

Hier is de tekst uit de losgeldbrief:

ATTENTION!

Don't worry, you can return all your files!
All your files like pictures, databases, documents and other important are encrypted with strongest encryption and unique key.
The only method of recovering files is to purchase decrypt tool and unique key for you.
This software will decrypt all your encrypted files.
What guarantees you have?
You can send one of your encrypted file from your PC and we decrypt it for free.
But we can decrypt only 1 file for free. File must not contain valuable information.
Do not ask assistants from youtube and recovery data sites for help in recovering your data.
They can use your free decryption quota and scam you.
Our contact is emails in this text document only.
You can get and look video overview decrypt tool:
-
Price of private key and decrypt software is $999.
Discount 50% available if you contact us first 72 hours, that's price for you is $499.
Please note that you'll never restore your data without payment.
Check your e-mail "Spam" or "Junk" folder if you don't get answer more than 6 hours.

To get this software you need write on our e-mail:
support@freshingmail.top

Reserve e-mail address to contact us:
datarestorehelpyou@airmail.cc

Your personal ID:

De werking van Watz-ransomware

Net als andere ransomware versleutelt Watz bestanden met behulp van een robuust versleutelingsalgoritme, waardoor het voor slachtoffers bijna onmogelijk wordt om hun gegevens te herstellen zonder de decoderingssleutel die de aanvallers bezitten. Het door Watz achtergelaten losgeldbriefje bevat instructies voor de slachtoffers en biedt een decoderingstool en een unieke sleutel in ruil voor een betaling van $999. Er wordt echter ook melding gemaakt van een korting van 50% als de slachtoffers binnen 72 uur contact opnemen met de cybercriminelen. De notitie bevat doorgaans contactgegevens, zoals support@freshingmail.top en datarestorehelpyou@airmail.cc, en een aanbod om één bestand gratis te decoderen als bewijs van hun vermogen om de bestanden te herstellen.

De Djvu-familie en hun tactieken

De Djvu-ransomware werkt via geavanceerde stappen om detectie te voorkomen en de impact ervan te maximaliseren. In eerste instantie maakt het gebruik van dynamische API-resolutie om discreet toegang te krijgen tot de benodigde tools. Vervolgens maakt het gebruik van een techniek die bekend staat als procesuitholling, waarbij het zichzelf dupliceert onder het mom van een legitiem proces, waardoor zijn kwaadaardige activiteiten effectief worden gemaskeerd. Deze methode helpt het beveiligingsmaatregelen te omzeilen en langer onopgemerkt te blijven.

Naast het versleutelen van bestanden wordt de Djvu-ransomware, waaronder Watz, vaak geassocieerd met andere soorten malware zoals RedLine en Vidar, die gevoelige informatie van het systeem van het slachtoffer stelen vóór de ransomware-aanval. Deze veelzijdige aanpak vergroot de potentiële schade en de invloed die cybercriminelen op hun slachtoffers hebben.

De wijdverbreide dreiging

Ransomware volgt over het algemeen een vergelijkbare modus operandi: gegevens versleutelen, losgeld eisen en dreigen met permanent gegevensverlies als het losgeld niet wordt betaald. Betalingen worden meestal in cryptocurrency gevraagd om de anonimiteit te behouden. Hoewel sommige slachtoffers het losgeld betalen om weer toegang te krijgen tot hun gegevens, is het van cruciaal belang om te begrijpen dat er geen garantie is dat de aanvallers de decoderingssleutel zullen verstrekken. Bovendien stimuleert het betalen van het losgeld het voortbestaan en de evolutie van deze kwaadaardige activiteiten.

Veel voorkomende infectievectoren

Ransomware-infecties kunnen via verschillende kanalen plaatsvinden. Cybercriminelen verspreiden ransomware vaak via kwaadaardige e-mails met geïnfecteerde bijlagen of links. Bovendien maken ze misbruik van illegale software, sleutelgeneratoren en websites die ongeautoriseerde downloads aanbieden. Andere veel voorkomende infectievectoren zijn onder meer P2P-netwerken, kwaadaardige advertenties, geïnfecteerde USB-drives en gecompromitteerde websites. Ransomware kan ook systemen infiltreren door misbruik te maken van kwetsbaarheden in verouderde software en besturingssystemen.

Ransomware-infecties voorkomen

Om u te beschermen tegen ransomware-infecties is een proactieve benadering van cyberbeveiliging essentieel. Download apps en bestanden alleen van vertrouwde bronnen, zoals officiële websites en gerenommeerde appstores. Vermijd het installeren van illegale software of het gebruik van crackingtools, aangezien dit veelgebruikte methoden zijn voor het verspreiden van malware. Wees voorzichtig met ongevraagde e-mails, vooral als deze links of bijlagen van onbekende afzenders bevatten. Klik niet op advertenties, pop-ups of knoppen op verdachte websites.

Het regelmatig updaten van uw besturingssysteem en software is van cruciaal belang, net als het gebruik van gerenommeerde antivirussoftware en het uitvoeren van routinematige systeemscans. Deze maatregelen kunnen potentiële ransomware-infecties helpen detecteren en voorkomen. Als uw computer geïnfecteerd raakt met Watz of een andere ransomware, kan het uitvoeren van een scan met een betrouwbaar antivirusprogramma de dreiging helpen elimineren.

Gegevens decoderen

Djvu Ransomware is in de loop van de tijd geëvolueerd, waarbij oude en nieuwe versies verschillende versleutelingsmechanismen gebruiken. Eerdere versies gebruikten een hardgecodeerde "offlinesleutel" wanneer de geïnfecteerde machine geen internetverbinding had of de server niet reageerde. Cybersecurity-onderzoekers hebben tools ontwikkeld om bestanden die door deze oudere versies zijn gecodeerd, te decoderen. Nieuwere versies, uitgebracht na augustus 2019, hebben echter bijgewerkte coderingsmechanismen, waardoor eerdere decoderingstools niet meer effectief zijn.

Voor gegevens die door oudere Djvu-varianten zijn versleuteld, bestaat er een tool die mogelijk een oplossing biedt. Voor nieuwere varianten zoals Watz Ransomware blijven de kansen om bestanden te decoderen zonder de hulp van de aanvallers echter klein.

Waakzaamheid en paraatheid

Watz Ransomware is een duidelijke herinnering aan de voortdurende en evoluerende dreiging die ransomware-aanvallen met zich meebrengen. Iedereen kan zichzelf beter beschermen tegen dergelijke kwaadaardige activiteiten door de mechanismen, infectievectoren en preventiestrategieën ervan te begrijpen. Regelmatige back-ups, voorzichtig online gedrag en robuuste cyberbeveiligingsmaatregelen zijn essentieel om de risico’s van ransomware te vermijden.