XCor Ransomware vergrendelt systemen van slachtoffers

xCor is een vorm van ransomware die is gemaakt met de bedoeling bestanden te versleutelen, hun namen te wijzigen door de ID van het slachtoffer, het e-mailadres xcorp@decoymail.mx en de extensie ".xCor" toe te voegen. Deze kwaadaardige software presenteert twee losgeldnota's, één in de vorm van een pop-upvenster en de andere als een "info.txt"-bestand. Ons team kwam xCor tegen tijdens ons onderzoek naar malwarevoorbeelden.

Bovendien onthulden onze bevindingen dat xCor wordt geassocieerd met de Dharma-ransomwarefamilie. Om te illustreren hoe deze ransomware bestandsnamen manipuleert, neemt het een bestand zoals "1.jpg" en transformeert het in "1.jpg.id-1E857D00.[xcorp@decoymail.mx].xCor", waarbij andere bestanden zoals "2 .png" naar "2.png.id-1E857D00.[xcorp@decoymail.mx].xCor", enzovoort.

De losgeldbrief informeert de slachtoffers dat al hun bestanden zijn versleuteld. Het biedt echter ook de zekerheid dat de bestanden hersteld kunnen worden. Slachtoffers krijgen instructies om via e-mail contact op te nemen met de aanvallers, hetzij via xcorp@decoymail.mx of whisper@mailfence.com.

Bovendien stelt de notitie dat de aanvallers een garantie bieden voor gratis decodering voor maximaal drie bestanden, wat dient als een demonstratie van hun bekwaamheid. Er gelden bepaalde beperkingen voor de bestanden die in aanmerking komen voor ontsleuteling, waaronder groottebeperkingen (minder dan 3Mb) en inhoudsbeperkingen (zoals het uitsluiten van waardevolle informatie zoals databases of back-ups).

Ten slotte krijgen slachtoffers twee waarschuwingen. Ten eerste wordt het ten zeerste afgeraden om de versleutelde bestanden een andere naam te geven. Ten tweede worden ze ontmoedigd om te proberen de gegevens te decoderen met behulp van software van derden, omdat dit kan leiden tot permanent gegevensverlies.

xCor losgeldnotitie gepresenteerd in twee formaten

De langere versie van de xCor-losgeldbrief luidt als volgt:

Al uw bestanden zijn versleuteld!
Maak je geen zorgen, je kunt al je bestanden retourneren!
Als u ze wilt herstellen, schrijft u naar de mail: xcorp@decoymail.mx UW ID 1E857D00
Als je niet binnen 12 uur per mail hebt geantwoord, schrijf ons dan via een andere mail:whisper@mailfence.com
Gratis decryptie als garantie
Voordat u betaalt, kunt u ons maximaal 3 bestanden sturen voor gratis decodering. De totale grootte van bestanden moet kleiner zijn dan 3Mb (niet-gearchiveerd) en bestanden mogen geen waardevolle informatie bevatten. (databases, back-ups, grote Excel-sheets, enz.)
Hoe Bitcoins te verkrijgen
De gemakkelijkste manier om bitcoins te kopen is de LocalBitcoins-site. U moet zich registreren, op 'Bitcoins kopen' klikken en de verkoper selecteren op betaalmethode en prijs.
hxxps://localbitcoins.com/buy_bitcoins
Ook kunt u hier andere plaatsen vinden om Bitcoins en beginnersgids te kopen:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Aandacht!
Hernoem versleutelde bestanden niet.
Probeer uw gegevens niet te decoderen met behulp van software van derden, dit kan permanent gegevensverlies veroorzaken.
Het decoderen van uw bestanden met de hulp van derden kan leiden tot een hogere prijs (ze voegen hun vergoeding toe aan de onze) of u kunt het slachtoffer worden van oplichterij.

Hoe kan ransomware zoals xCor uw computer infecteren?

xCor en soortgelijke ransomware kunnen uw computer op verschillende manieren infecteren. Hier zijn enkele veelgebruikte methoden die door ransomware worden gebruikt om systemen te infiltreren:

• E-mailbijlagen: Een veel voorkomende manier waarop ransomware zich verspreidt, is via kwaadaardige e-mailbijlagen. Cybercriminelen sturen vaak e-mails die er legitiem en overtuigend uitzien, met geïnfecteerde bijlagen zoals pdf's, Word-documenten of uitvoerbare bestanden. Als u onbewust dergelijke bijlagen downloadt en opent, kan de ransomware worden geactiveerd en beginnen met het versleutelen van uw bestanden.
• Phishing-e-mails en websites: Ransomware kan ook worden verspreid via phishing-e-mails of nepwebsites. Phishing-e-mails zijn ontworpen om ontvangers te misleiden zodat ze op kwaadaardige links klikken of geïnfecteerde bestanden downloaden. Evenzo kunnen nepwebsites u vragen software-updates te downloaden of persoonlijke informatie in te voeren, maar in plaats daarvan leveren ze ransomware op uw systeem.
• Exploitkits: Ransomware kan misbruik maken van kwetsbaarheden in verouderde software, besturingssystemen of webbrowsers. Exploitkits zijn kwaadaardige tools die computers scannen op zwakke plekken in de beveiliging en ransomware-payloads leveren om die kwetsbaarheden te misbruiken. Het is cruciaal om uw software regelmatig bij te werken en betrouwbare beveiligingspatches te gebruiken om het risico op misbruik te minimaliseren.
• Malvertising: Kwaadaardige reclame, of malvertising, omvat het injecteren van kwaadaardige code in legitieme online advertenties of websites. Door simpelweg een gecompromitteerde website te bezoeken of op een geïnfecteerde advertentie te klikken, kan ransomware zonder uw medeweten onbedoeld op uw computer worden gedownload.
• Remote Desktop Protocol (RDP)-aanvallen: Ransomware-aanvallers richten zich soms op computers met het blootgestelde Remote Desktop Protocol. Als ze met succes zwakke of gemakkelijk te raden inloggegevens misbruiken, krijgen ze ongeoorloofde toegang tot het systeem en zetten ze ransomware in.
• Drive-by-downloads: Drive-by-downloads vinden plaats wanneer gecompromitteerde websites worden bezocht die schadelijke code hebben verborgen. Het simpelweg bezoeken van deze websites kan het automatisch downloaden en installeren van ransomware op uw computer activeren.