Hele ransomware bedreigt gegevenslekken

Tijdens ons onderzoek naar nieuw ingediende malwaremonsters kwamen onze onderzoekers een ransomwareprogramma tegen met de naam 'Whole'. We hebben vastgesteld dat het is afgeleid van de Keylock-ransomware. Deze kwaadaardige software versleutelt gegevens en vraagt losgeld in ruil voor het ontsleutelen ervan.

Tijdens onze tests versleutelde de "Whole"-ransomware bestanden en voegde een ".whole"-extensie toe aan hun bestandsnamen. Een bestand dat oorspronkelijk '1.jpg' heette, wordt bijvoorbeeld weergegeven als '1.jpg.whole' en '2.png' als '2.png.whole'.

Zodra het coderingsproces was voltooid, werd de bureaubladachtergrond gewijzigd en werd een losgeldbrief met de titel "README-ID-[slachtoffer_ID].txt" gegenereerd. Uit de inhoud van deze nota blijkt dat deze ransomware zich vooral richt op bedrijven en niet op individuele gebruikers.

Het bericht dat op de bureaubladachtergrond "Whole" wordt weergegeven, instrueert het slachtoffer om het bijbehorende tekstbestand ("README-ID-[slachtoffer_ID].txt") te lezen. In deze losgeldbrief wordt uitgelegd dat de bestanden van het slachtoffer zijn gecodeerd en wordt verzekerd dat hun unieke decoderingssleutel veilig is opgeslagen op de servers van de aanvallers.

Het herstel kan kosteloos worden getest door een paar gecodeerde bestanden naar de cybercriminelen te sturen (binnen bepaalde richtlijnen). Als het slachtoffer niet binnen drie dagen probeert contact op te nemen met de aanvallers, kunnen hun gevoelige bedrijfsgegevens openbaar worden gemaakt of worden verkocht.

Het bericht bevat ook waarschuwingen waarin het slachtoffer wordt geïnformeerd dat het hernoemen of wijzigen van de getroffen bestanden, evenals het gebruik van hersteltools of antivirussoftware van derden, de gegevens onherstelbaar kunnen maken.

Hele ransomware dropt lange notitie

De volledige tekst van de Whole losgeldbrief luidt als volgt:

UW BESTANDEN ZIJN VERSLEUTELD

Uw bestanden zijn gecodeerd met sterke encryptie-algoritmen en aangepast!
Maakt u zich geen zorgen, uw unieke encryptiesleutel wordt veilig op onze server opgeslagen en uw gegevens kunnen snel en veilig worden gedecodeerd.

Wij kunnen bewijzen dat wij al uw gegevens kunnen ontsleutelen. Stuur ons alstublieft 3 niet belangrijke, kleine (~2mb) gecodeerde bestanden, die willekeurig op uw server worden opgeslagen. Voeg ook dit door ons achtergelaten bestand README-ID-.txt toe aan elke map.
Wij zullen deze bestanden ontsleutelen en als bewijs naar u toesturen. Houd er rekening mee dat bestanden voor gratis testdecodering geen waardevolle informatie mogen bevatten.

Als u niet binnen 72 uur een dialoog met ons aangaat, zijn wij genoodzaakt uw bestanden openbaar te maken. Uw klanten en partners worden geïnformeerd over het datalek.
Op deze manier wordt uw reputatie geruïneerd. Als u niet reageert, zijn wij genoodzaakt de belangrijkste informatie zoals databases en persoonsgegevens aan geïnteresseerden te verkopen om zo enige winst te genereren.

Als u deze situatie wilt oplossen, voegt u dit bestand README-ID-.txt per brief toe en schrijft u naar AL deze 2 e-mailadressen:

pmx@techmail.info
Wholekey@mailfence.com

BELANGRIJK!
Wij raden u aan rechtstreeks contact met ons op te nemen om te voorkomen dat u te veel betaalt aan makelaars.
We vragen om uw bericht naar AL onze 2 e-mailadressen te sturen, omdat uw e-mail om verschillende redenen mogelijk niet wordt afgeleverd.
Ons bericht kan worden herkend als spam, controleer dus zeker de spammap.
Als we niet binnen 24 uur reageren, schrijf ons dan vanaf een ander e-mailadres.
Verspil geen tijd, dit zal alleen maar extra schade voor uw bedrijf tot gevolg hebben.
Wijzig de naam niet en probeer de bestanden zelf te decoderen. Als bestanden worden aangepast, kunnen wij u niet helpen.
Als u software van derden probeert te gebruiken voor het herstellen van uw gegevens of antivirusoplossingen, maak dan een back-up van alle gecodeerde bestanden.
Als u gecodeerde bestanden van de huidige computer verwijdert, kunt u deze mogelijk niet meer decoderen.

Hoe kan ransomware uw systeem binnendringen?

Ransomware kan uw systeem op verschillende manieren infiltreren, en het begrijpen van deze toegangspunten is van cruciaal belang om uw systeem tegen dergelijke aanvallen te beschermen. Hier volgen enkele veelvoorkomende manieren waarop ransomware uw systeem kan binnendringen:

• E-mailbijlagen: Phishing-e-mails zijn een veelgebruikte methode voor de verspreiding van ransomware. Cybercriminelen sturen ogenschijnlijk legitieme e-mails met geïnfecteerde bijlagen (bijvoorbeeld pdf's, Word-documenten of ZIP-bestanden) of links naar kwaadaardige websites. Wanneer gebruikers deze bijlagen openen of op de links klikken, wordt de ransomware gedownload en op hun systemen uitgevoerd.
• Schadelijke links: Ransomware kan ook worden verspreid via misleidende of kwaadaardige links in e-mails, expresberichten of op websites. Als u op deze links klikt, kan dit leiden tot het downloaden en uitvoeren van ransomware.
• Malvertising: Cybercriminelen kunnen kwaadaardige advertenties (malvertisements) op legitieme websites gebruiken om ransomware te verspreiden. Het simpelweg bezoeken van een gecompromitteerde website met deze advertenties kan leiden tot een automatische download van de malware.
• Kwetsbaarheden misbruiken: Ransomware-auteurs kunnen softwarekwetsbaarheden in uw besturingssysteem of applicaties misbruiken. Als uw systeem niet up-to-date is met beveiligingspatches, kan het kwetsbaar zijn voor aanvallen op basis van exploits.
• Drive-By-downloads: Ransomware kan worden geleverd via 'drive-by-downloads', waarbij gebruikers onbewust kwaadaardige code downloaden terwijl ze gecompromitteerde of kwaadaardige websites bezoeken. Deze downloads kunnen plaatsvinden zonder enige gebruikersinteractie of toestemming.
• Remote Desktop Protocol (RDP)-aanvallen: Aanvallers kunnen zwakke of standaard RDP-inloggegevens misbruiken om toegang te krijgen tot externe systemen. Eenmaal binnen kunnen ze ransomware installeren en bestanden versleutelen.
• Softwaredownloads: Het downloaden van software of bestanden van onbetrouwbare of illegale bronnen kan uw systeem blootstellen aan ransomware. Illegale software of gekraakte versies worden vaak geleverd met verborgen malware-payloads.