Xrp Ransomware codeert de schijven van slachtoffers

Bij het onderzoeken van nieuwe malwaremonsters kwamen we een ransomwarevariant tegen die bekend staat als Xrp en die behoort tot de GlobeImposter-familie. Het primaire doel van Xrp is het versleutelen van bestanden, door een e-mailadres en de extensie ".xrp" aan bestandsnamen toe te voegen. Bovendien bevat het een losgeldbrief ("Read_For_Restore_File.html").

Xrp verandert bijvoorbeeld bestandsnamen als "1.jpg" in "1.jpg.[a.wyper@bejants.com].xrp" en "2.png" in "2.png.[a.wyper@bejants. com].xrp", enzovoort.

De losgeldbrief informeert de slachtoffers dat hun bestanden zijn versleuteld met behulp van een robuust RSA-2048-algoritme. Het beweert dat bestandsherstel onmogelijk is zonder een geheime sleutel die in het bezit is van de aanvallers.

Om hun gegevens te herstellen, krijgen de slachtoffers de opdracht een e-mailaccount aan te maken bij protonmail.com of cock.li. De opmerking waarschuwt tegen het gebruik van een standaard e-mailadres, omdat dit mogelijk wordt geblokkeerd. Vervolgens wordt de slachtoffers gevraagd om vanaf het nieuw opgerichte adres een e-mail te sturen naar a.wyper@bejants.com, inclusief hun identiteitsbewijs.

De aanvallers beloven te antwoorden met verdere instructies over het decoderen van de bestanden. Als er binnen 48 uur geen reactie is, wordt een alternatief e-mailadres, a.wyper@worldtravelnotebook.com, verstrekt.

Xrp-losgeldbrief vertelt slachtoffers dat ze een nieuw e-mailadres moeten aanmaken

De volledige tekst van het Xrp-losgeldbriefje luidt als volgt:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Uw persoonlijke ID:

PS
Het is in uw belang om zo snel mogelijk te reageren om het herstel van uw bestanden te garanderen, omdat we uw decoderingssleutels niet voor een lange tijd op onze server zullen opslaan.
Controleer de map "Spam" wanneer u op een e-mail van ons wacht.
Als we langer dan 48 uur niet op uw bericht reageren, schrijf dan naar het back-up-e-mailadres: a.wyper@worldtravelnotebook.com

Vraag: Geen antwoord ontvangen?
A: Controleer de SPAM-map.
Vraag: Mijn spammap is leeg, wat moet ik doen?
A: Registreer uw e-mailbox bij protonmail.com of cock.li en voer de bovenstaande stappen uit.

Hoe kan ransomware uw systeem infecteren?

Ransomware kan een systeem op verschillende manieren infecteren, en aanvallers maken vaak gebruik van geavanceerde technieken om kwetsbaarheden te misbruiken. Hier volgen veelgebruikte methoden waarmee ransomware uw systeem kan infecteren:

Phishing-e-mails: Een van de meest voorkomende methoden is phishing-e-mails. Aanvallers sturen e-mails met kwaadaardige bijlagen of links. Zodra de gebruiker de bijlage opent of op de link klikt, wordt de ransomware gedownload en op het systeem uitgevoerd.

Schadelijke websites: Het bezoeken van gecompromitteerde of kwaadaardige websites kan uw systeem blootstellen aan ransomware. Drive-by-downloads kunnen voorkomen, waarbij malware automatisch wordt gedownload en geïnstalleerd zonder medeweten of toestemming van de gebruiker.

Malvertising: Aanvallers gebruiken kwaadaardige advertenties (malvertising) om ransomware te verspreiden. Legitieme websites kunnen onbewust kwaadaardige advertenties weergeven, en als u op deze advertenties klikt, kan dit leiden tot het downloaden van ransomware.

Exploitatie van kwetsbaarheden in software: Ransomware kan kwetsbaarheden in besturingssystemen, software of applicaties misbruiken. Als uw systeem niet regelmatig wordt bijgewerkt met beveiligingspatches, wordt het gevoeliger voor deze aanvallen.

Remote Desktop Protocol (RDP)-aanvallen: Cybercriminelen kunnen proberen ongeautoriseerde toegang tot een systeem te krijgen via slecht beveiligde Remote Desktop Protocol-verbindingen. Eenmaal binnen kunnen ze ransomware inzetten.

Social engineering: Aanvallers kunnen social engineering-technieken gebruiken om gebruikers ertoe te verleiden kwaadaardige scripts uit te voeren of geïnfecteerde bestanden te downloaden. Dit kan inhouden dat gebruikers worden misleid om onnodige machtigingen te verlenen of schijnbaar onschuldige applicaties uit te voeren.

Watering Hole-aanvallen: Bij dit soort aanvallen compromitteren cybercriminelen websites die vaak door de doelgroep worden bezocht. Wanneer gebruikers deze sites bezoeken, downloaden ze onbewust malware, waaronder ransomware.

Geïnfecteerde software-installatieprogramma's: Schadelijke software-installatieprogramma's, vaak vermomd als legitieme applicaties of updates, kunnen ransomware leveren wanneer ze worden uitgevoerd.