Wzer Ransomware vergrendelt slachtofferbestanden

Bij het onderzoeken van nieuwe malwaremonsters kwam ons team de Wzer-ransomware tegen, die gelinkt is aan de Djvu-familie. Wanneer het een computer infiltreert, codeert Wzer verschillende bestanden en voegt de extensie ".wzer" toe aan hun oorspronkelijke namen. Een bestand met de naam "1.jpg" wordt bijvoorbeeld omgezet in "1.jpg.wzer", terwijl "2.png" verandert in "2.png.wzer", enzovoort.

Naast de primaire functie van het versleutelen van bestanden, genereert Wzer een losgeldbrief die verschijnt als een tekstbestand met de naam "_readme.txt." Bovendien kan de distributie van Wzer gepaard gaan met samenwerking met informatiestelende malware zoals Vidar en RedLine.

De losgeldbrief in het bestand "_readme.txt" benadrukt dat de decodering van bestanden afhankelijk is van het gebruik van specifieke decoderingssoftware en een unieke sleutel. De slachtoffers krijgen de opdracht contact op te nemen met de aanvallers via de opgegeven e-mailadressen (support@freshmail.top of datarestorehelp@airmail.cc) voor verdere begeleiding.

Bovendien vermeldt het losgeldbriefje twee verschillende bedragen: $980 en $490, wat aangeeft dat slachtoffers mogelijk tegen een gereduceerd tarief de decoderingstools kunnen verkrijgen als ze binnen een tijdsbestek van 72 uur met de aanvallers communiceren.

Wzer losgeldbrief vraagt om $ 490 als losgeldbetaling

De volledige tekst van het Wzer-losgeldbriefje luidt als volgt:

AANDACHT!

Maak je geen zorgen, je kunt al je bestanden retourneren!
Al uw bestanden zoals afbeeldingen, databases, documenten en andere belangrijke bestanden worden gecodeerd met de sterkste codering en een unieke sleutel.
De enige manier om bestanden te herstellen is door een decoderingstool en een unieke sleutel voor u aan te schaffen.
Deze software decodeert al uw gecodeerde bestanden.
Welke garanties heb je?
U kunt een gecodeerd bestand vanaf uw pc verzenden en wij decoderen het gratis.
Maar we kunnen slechts 1 bestand gratis decoderen. Bestand mag geen waardevolle informatie bevatten.
U kunt de decoderingstool voor het video-overzicht downloaden en bekijken:
hxxps://we.tl/t-E3ktviSmlG
De prijs van de privésleutel en decoderingssoftware is $ 980.
Korting van 50% beschikbaar als u de eerste 72 uur contact met ons opneemt, de prijs voor u is $ 490.
Houd er rekening mee dat u uw gegevens nooit zonder betaling zult herstellen.
Controleer uw e-mailmap "Spam" of "Ongewenste e-mail" als u langer dan 6 uur geen antwoord krijgt.

Om deze software te verkrijgen, moet u op onze e-mail schrijven:
support@freshmail.top

Reserveer een e-mailadres om contact met ons op te nemen:
datarestorehelp@airmail.cc

Uw persoonlijke ID:

Hoe wordt ransomware zoals Wzer online verspreid?

Ransomware zoals Wzer wordt doorgaans verspreid via verschillende methoden die misbruik maken van kwetsbaarheden in computersystemen of profiteren van menselijk gedrag. Enkele veel voorkomende distributiemethoden zijn:

• Schadelijke e-mailbijlagen: Cybercriminelen versturen vaak phishing-e-mails met kwaadaardige bijlagen, zoals geïnfecteerde documenten of uitvoerbare bestanden. Deze bijlagen kunnen zo zijn ontworpen dat ze op legitieme bestanden lijken. Wanneer het slachtoffer ze opent, wordt de ransomware uitgevoerd.
• Geïnfecteerde software-installatieprogramma's: Cybercriminelen kunnen legitieme software-installatieprogramma's compromitteren of valse versies van populaire software maken. Wanneer gebruikers deze geïnfecteerde bestanden downloaden en installeren, wordt de ransomware in het geheim geïnstalleerd.
• Schadelijke links: Phishing-e-mails of -berichten kunnen links bevatten naar websites die de ransomware hosten. Als u op deze links klikt, kan dit leiden tot het automatisch downloaden en installeren van de ransomware.
• Exploitkits: Cybercriminelen kunnen exploitkits gebruiken. Dit zijn kwaadaardige softwarepakketten die zijn ontworpen om kwetsbaarheden in webbrowsers, plug-ins of andere software te misbruiken. Wanneer een gebruiker een gecompromitteerde website bezoekt, detecteert de exploitkit kwetsbaarheden en levert de ransomware-payload.
• Remote Desktop Protocol (RDP)-aanvallen: Aanvallers richten zich op systemen met zwakke RDP-referenties of bekende kwetsbaarheden. Zodra ze externe toegang hebben verkregen, installeren ze de ransomware.
• Malvertising: Schadelijke advertenties op legitieme websites kunnen gebruikers naar kwaadaardige websites leiden die de ransomware hosten. Het simpelweg bezoeken van de besmette site kan het downloaden en installeren van de ransomware activeren.
• Peer-to-peer-netwerken en illegale software: Illegale softwaredownloads van peer-to-peer-netwerken of gekraakte/illegale softwareversies kunnen verborgen ransomware-payloads bevatten.
• Drive-By-downloads: Cybercriminelen kunnen gecompromitteerde websites gebruiken om zonder enige gebruikersinteractie malware naar de systemen van bezoekers te sturen. Kwetsbaarheden in de browser of de plug-ins ervan worden misbruikt om het downloaden en uitvoeren van de ransomware te initiëren.