Alock Ransomware zablokuje twój system

Podczas rutynowej oceny nowych przesłanych próbek plików nasza grupa badawcza natknęła się na rodzaj oprogramowania ransomware znanego jako Alock. Ten wariant ransomware jest powiązany z rodziną ransomware MedusaLocker.

W naszym środowisku testowym oprogramowanie ransomware Alock działało na zasadzie szyfrowania plików i modyfikowania ich nazw za pomocą rozszerzenia „.alock”. Na przykład plik pierwotnie oznaczony jako „1.jpg” po zaszyfrowaniu stał się „1.jpg.alock”, a wzorzec ten rozszerzył się na wszystkie zablokowane pliki.

Po zakończeniu procedury szyfrowania wygenerowano żądanie okupu o nazwie "HOW_TO_BACK_FILES.html". Z treści tej wiadomości jasno wynikało, że celem Alock są przede wszystkim organizacje, a nie indywidualni użytkownicy. Co więcej, to ransomware wykorzystuje strategię polegającą na podwójnym wymuszeniu.

Żądanie okupu ("HOW_TO_BACK_FILES.html") informowało ofiarę, że jej sieć korporacyjna została naruszona. Kluczowe pliki zostały zaszyfrowane, a poufne lub osobiste dane zostały skradzione.

Do szyfrowania plików wykorzystywano algorytmy kryptograficzne, takie jak RSA i AES, co uniemożliwiało ich odszyfrowanie bez interwencji atakujących. Ofiara została ostrzeżona, że jakakolwiek zmiana lub zmiana nazwy zaszyfrowanych danych lub jakakolwiek próba ich odzyskania przy użyciu oprogramowania innej firmy spowoduje trwałe niepowodzenie odszyfrowania.

W notatce wyjaśniono, że za rozpoczęcie odszyfrowywania trzeba było zapłacić okup, a brak kontaktu z cyberprzestępcami w ciągu 72 godzin doprowadziłby do eskalacji żądanej kwoty. Przed spełnieniem żądań okupu ofiara miała możliwość przetestowania odszyfrowywania kilku plików. Jeśli ofiara odmówi zapłaty, ujawnione informacje zostaną ujawnione lub wystawione na sprzedaż.

Alock Ransom Note podnosi żądanie okupu w ciągu trzech dni

Pełny tekst żądania okupu Alock brzmi następująco:

TWÓJ OSOBISTY IDENTYFIKATOR:

SIEĆ TWOJEJ FIRMY ZOSTAŁA PENETROWANA
Wszystkie ważne pliki zostały zaszyfrowane!

Twoje pliki są bezpieczne! Tylko zmodyfikowane. (RSA+AES)

WSZELKIE PRÓBY PRZYWRÓCENIA PLIKÓW ZA POMOCĄ OPROGRAMOWANIA OSÓB TRZECICH
BĘDZIE TO TRWAŁE USZKODZIĆ.
NIE MODYFIKUJ ZASZYFROWANYCH PLIKÓW.
NIE ZMIENIAJ NAZW ZASZYFROWANYCH PLIKÓW.

Żadne oprogramowanie dostępne w Internecie nie może ci pomóc. Jesteśmy jedynymi, którzy mogą
rozwiązać swój problem.

Zebraliśmy wysoce poufne/dane osobowe. Te dane są obecnie przechowywane na
prywatny serwer. Ten serwer zostanie natychmiast zniszczony po dokonaniu płatności.
Jeśli zdecydujesz się nie płacić, udostępnimy Twoje dane publicznie lub odsprzedawcy.
Możesz więc spodziewać się, że Twoje dane będą publicznie dostępne w najbliższej przyszłości.

Szukamy tylko pieniędzy, a naszym celem nie jest niszczenie Twojej reputacji ani zapobieganie
Twoja firma nie działa.

Możesz przesłać nam 2-3 nieistotne pliki, a my odszyfrujemy je za darmo
aby udowodnić, że jesteśmy w stanie zwrócić Twoje pliki.

Skontaktuj się z nami w sprawie ceny i uzyskaj oprogramowanie deszyfrujące.

qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion

Pamiętaj, że ten serwer jest dostępny tylko przez przeglądarkę Tor

Postępuj zgodnie z instrukcjami, aby otworzyć link:

1. Wpisz adres „hxxps://www.torproject.org” w przeglądarce internetowej. Otwiera stronę Tor.
2. Naciśnij „Pobierz Tor”, a następnie „Pobierz pakiet Tor Browser”, zainstaluj i uruchom.
3. Teraz masz przeglądarkę Tor. W przeglądarce Tor otwórz qd7pcafncosqfqu3ha6fcx4h6sr7tzwagzpcdcnytiw3b6varaeqv5yd.onion
4. Rozpocznij czat i postępuj zgodnie z dalszymi instrukcjami.

Jeśli nie możesz skorzystać z powyższego linku, skorzystaj z adresu e-mail:
ithelp02@securitymy.name
ithelp02@yousheltered.com

Aby się z nami skontaktować, utwórz nowe bezpłatne konto e-mail na stronie: protonmail.com

JEŚLI NIE SKONTAKTUJESZ SIĘ Z NAMI W CIĄGU 72 GODZIN, CENA BĘDZIE WYŻSZA.

W jaki sposób ransomware, takie jak Alock, może przeniknąć do twojego komputera?

Ransomware, takie jak Alock, może przeniknąć do twojego komputera za pomocą różnych metod i wektorów ataków. Oto kilka typowych sposobów, w jakie ransomware może uzyskać dostęp do twojego systemu:

• E-maile phishingowe: Jedną z najbardziej rozpowszechnionych metod są e-maile phishingowe. Atakujący wysyłają e-maile, które wyglądają na wiarygodne, często podszywając się pod zaufany podmiot lub zawierające kuszące tematy i załączniki. Te załączniki mogą zawierać złośliwe ładunki lub linki, które po kliknięciu pobierają i uruchamiają ransomware.
• Złośliwe strony internetowe i pliki do pobrania: Odwiedzanie zainfekowanych lub złośliwych stron internetowych może również prowadzić do infekcji ransomware. Czasami napastnicy używają zestawów exploitów, które wykorzystują luki w zabezpieczeniach Twojej przeglądarki lub wtyczek do dostarczania oprogramowania ransomware bez Twojej wiedzy.
• Malvertising: osoby atakujące mogą wstrzykiwać złośliwy kod do legalnych reklam internetowych, przekierowując użytkowników do witryn zawierających oprogramowanie ransomware. Po prostu kliknięcie zainfekowanej reklamy może spowodować pobranie i uruchomienie oprogramowania ransomware.
• Zainfekowane instalatory oprogramowania: przestępcy mogą naruszyć legalne instalatory oprogramowania, łącząc je z ładunkami ransomware. Gdy użytkownicy pobierają i instalują te zainfekowane aplikacje, ransomware zostaje aktywowane.
• Ataki protokołu RDP (Remote Desktop Protocol): jeśli komputer ma włączony protokół RDP i jest słabo zabezpieczony, osoby atakujące mogą wykorzystać słabe hasła lub luki w zabezpieczeniach, aby uzyskać zdalny dostęp i zainstalować oprogramowanie ransomware.
• Luki w oprogramowaniu: Ransomware może wykorzystywać znane luki w systemie operacyjnym, oprogramowaniu lub aplikacjach. Aktualizowanie oprogramowania za pomocą najnowszych poprawek zabezpieczeń może zmniejszyć to ryzyko.
• Inżynieria społeczna: osoby atakujące mogą manipulować użytkownikami, aby dobrowolnie pobrali i uruchomili oprogramowanie ransomware. Może to obejmować nakłonienie ich do zainstalowania czegoś, co wydaje się być legalną aktualizacją oprogramowania lub plikiem.
• Złośliwe załączniki wiadomości e-mail: Załączniki w wiadomościach e-mail mogą zawierać makra lub skrypty uruchamiające oprogramowanie ransomware po otwarciu załącznika. Jest to powszechna metoda dystrybucji ransomware.