SAGE 2.2 Ransomware: een hardnekkige bedreiging voor het blokkeren van bestanden

Een beruchte evolutie in ransomware

SAGE 2.2 Ransomware is een geëvolueerde versie van de Sage ransomware-variant, ontworpen om bestanden te versleutelen en ze gegijzeld te houden totdat er losgeld is betaald. Net als zijn voorgangers wijzigt het de getroffen bestanden door de extensie ".sage" toe te voegen en levert het een losgeldbericht met het label "!HELP_SOS.hta" om slachtoffers te informeren over de versleuteling. Naast het vergrendelen van bestanden, wijzigt SAGE 2.2 het bureaubladachtergrond om zijn eis tot betaling te versterken.

De ransomware hernoemt bestanden systematisch, bijvoorbeeld door "document.pdf" om te zetten in "document.pdf.sage" enzovoort. Dit maakt het voor slachtoffers direct duidelijk dat hun gegevens zijn gecompromitteerd. De bijbehorende losgeldbrief wordt gepresenteerd in zowel tekst- als audioformaat. Het is beschikbaar in meerdere talen, waaronder Engels, Duits, Italiaans, Portugees, Spaans, Frans, Koreaans, Nederlands, Arabisch, Perzisch en Chinees.

De losgeldbrief en de bijbehorende instructies

SAGE 2.2 informeert slachtoffers dat hun bestanden zijn versleuteld en dat de enige manier om ze te herstellen is door de tool "SAGE Decrypter" te verkrijgen, samen met een unieke decryptiesleutel. De notitie waarschuwt tegen het proberen om alternatieve decryptietools te gebruiken, omdat dit de bestanden permanent kan beschadigen. Om betaling en communicatie te vergemakkelijken, bieden de aanvallers weblinks aan waar slachtoffers zogenaamd de decryptiesoftware kunnen kopen.

Als de gegeven links mislukken, krijgen slachtoffers de opdracht om de Tor Browser te downloaden en te gebruiken, een tool die vaak wordt geassocieerd met anoniem surfen op het web. De losgeldnota bevat ook gedetailleerde stappen over hoe toegang te krijgen tot de dark web-links, zodat zelfs mensen die niet bekend zijn met Tor kunnen voldoen aan de eisen van de aanvallers. Bovendien worden de instructies versterkt door het veranderen van de bureaubladachtergrond, waardoor het voor slachtoffers moeilijk wordt om ze te negeren.

Dit staat er in de losgeldbrief:

File recovery instructions
You probably noticed that you can not open your files and that some software stopped working correctly.

This is expected. Your files content is still there, but it was encrypted by "SAGE 2.2 Ransomware".

Your files are not lost, it is possible to revert them back to normal state by decrypting.

The only way you can do that is by getting "SAGE Decrypter" software and your personal decryption key.

Using any other software which claims to be able to restore your files will result in files being damaged or destroyed.

You can purchase "SAGE Decrypter" software and your decryption key at your personal page you can access by following links:

If none of these links work for you, click here to update the list.

Updating links...

Something went wrong while updating links, please wait some time and try again or use "Tor Browser" method below.

Links updated, if new ones still don't work, please wait some time and try again or use "Tor Browser" method below.

If you are asked for your personal key, copy it to the form on the site. This is your personal key:

-
You will also be able to decrypt one file for free to make sure "SAGE Decrypter" software is able to recover your files

If none of those links work for you for a prolonged period of time or you need your files recovered as fast as possible, you can also access your personal page using "Tor Browser".

In order to do that you need to:

open Internet Explorer or any other internet browser;
copy the address hxxps://www.torproject.org/download/download-easy.html.en into address bar and press "Enter";
once the page opens, you will be offered to download Tor Browser, download it and run the installator, follow installation instructions;
once installation is finished, open the newly installed Tor Browser and press the "Connect" button (button can be named differently if you installed non-English version);
Tor Browser will establish connection and open a normal browser window;
copy the address
-
into this browser address bar and press "Enter";
your personal page should be opened now; if it didn't then wait for a bit and try again.
If you can not perform this steps then check your internet connection and try again. If it still doesn't work, try asking some computer guy for help in performing this steps for you or look for some video guides on YouTube.

You can find a copy of this instruction in files named "!HELP_SOS" stored next to your encrypted files.

Wat Ransomware zoals SAGE 2.2 wil

Ransomwareprogramma's, waaronder SAGE 2.2, bestaan voornamelijk om slachtoffers geld af te persen. Door cruciale bestanden te versleutelen en de toegang te beperken, brengen aanvallers slachtoffers in een wanhopige positie waarin ze zich gedwongen kunnen voelen om te voldoen. Cybersecurity-experts waarschuwen echter tegen het betalen van losgeld, omdat er geen zekerheid is dat de aanvallers een werkende decryptietool zullen leveren. In veel gevallen krijgen slachtoffers die betalen hun bestanden niet terug en kunnen ze zelfs opnieuw het doelwit worden.

Omdat SAGE 2.2 actief kan blijven en nieuwe bestanden kan blijven versleutelen of verspreiden over een lokaal netwerk, is onmiddellijke actie noodzakelijk om verdere schade te voorkomen. Zonder een geldige back-up of decryptietools van derden is het vaak onmogelijk om bestanden te herstellen.

Hoe ransomware systemen infecteert

Ransomware zoals SAGE 2.2 infiltreert doorgaans systemen via misleidende methoden. Een van de meest voorkomende infectievectoren zijn frauduleuze e-mails met schadelijke bijlagen of links. Wanneer gebruikers met deze elementen interacteren, downloaden en voeren ze onbewust de ransomware uit op hun apparaten.

Een andere methode betreft gecompromitteerde websites of softwarekwetsbaarheden. Cybercriminelen misbruiken beveiligingslekken in verouderde besturingssystemen of applicaties om automatisch ransomware te implementeren. Bovendien kan het gebruik van onbetrouwbare softwarebronnen, zoals peer-to-peer (P2P)-netwerken, downloaders van derden of illegale software, gebruikers blootstellen aan verborgen ransomwarebedreigingen.

Voorzorgsmaatregelen tegen ransomware

Het voorkomen van ransomware-infecties vereist proactieve cybersecuritygewoonten. Gebruikers moeten voorzichtig zijn bij het verwerken van e-mails van onbekende afzenders en moeten voorkomen dat ze op onverwachte bijlagen of links klikken. Het verifiëren van de legitimiteit van een bericht voordat u de inhoud ervan opent, kan onbedoelde infecties voorkomen.

Software alleen downloaden van officiële bronnen, zoals websites van ontwikkelaars of vertrouwde app-winkels, minimaliseert het risico op kwaadaardige downloads. Het vermijden van illegale software, crackingtools en keygens is ook essentieel, omdat dit veelvoorkomende distributiekanalen voor ransomware zijn. Het up-to-date houden van besturingssystemen en software helpt beveiligingslekken te dichten die aanvallers kunnen misbruiken.

Laatste gedachten

Ransomware blijft een van de meest verstorende bedreigingen in cybersecurity, met stammen als SAGE 2.2 die de evoluerende aard ervan demonstreren. De financiële en emotionele stress die wordt veroorzaakt door bestandsversleutelingsaanvallen benadrukt het belang van het onderhouden van veilige back-ups.

Gebruikers kunnen de impact van ransomware-incidenten beperken door back-ups op te slaan op externe schijven of cloudservices die niet zijn verbonden met het primaire systeem. Een uitgebreide cybersecuritystrategie met waakzaamheid, software-updates en veilige back-uppraktijken kan ook de kans op infectie met dergelijke bedreigingen verkleinen.