BuSaveLock Ransomware zaszyfruje Twoje pliki

Nasz zespół badawczy niedawno odkrył wariant ransomware o nazwie BuSaveLock, który należy do rodziny MedusaLocker. Jego głównym celem jest szyfrowanie plików i żądanie zapłaty w zamian za ich odszyfrowanie. Dodatkowo BuSaveLock zawiera żądanie okupu ("How_to_back_files.html") i modyfikuje nazwy plików.

Aby zmienić nazwy plików, BuSaveLock dodaje określony numer wraz z rozszerzeniem „.busavelock” do oryginalnych nazw plików. Liczba w rozszerzeniu różni się w zależności od konkretnego wariantu BuSaveLock. Na przykład plik pierwotnie nazwany „1.jpg” zostałby zmieniony na „1.jpg.busavelock53”, a „2.png” na „2.png.busavelock53” i tak dalej.

Towarzyszące żądanie okupu informuje ofiarę, że wszystkie kluczowe pliki zostały zaszyfrowane przy użyciu metod szyfrowania RSA i AES. Zdecydowanie odradza próby przywrócenia plików przy użyciu oprogramowania innych firm, ponieważ twierdzi, że takie próby trwale uszkodziłyby pliki. Ponadto notatka instruuje ofiary, aby nie modyfikowały ani nie zmieniały nazw zaszyfrowanych plików.

Żądanie okupu odważnie zapewnia, że żadne oprogramowanie dostępne w Internecie nie może pomóc w rozwiązaniu problemu, podkreślając, że atakujący posiadają wyłączną możliwość odszyfrowania plików. Ponadto stwierdza, że osoby atakujące uzyskały dostęp do bardzo wrażliwych i osobistych danych, które są obecnie przechowywane na prywatnym serwerze. Jeśli ofiary odmówią zapłaty, napastnicy grożą upublicznieniem danych lub sprzedażą ich innym podmiotom.

Jako demonstrację ich zdolności do przywrócenia zaszyfrowanych plików, notatka wspomina, że cyberprzestępcy oferują bezpłatne odszyfrowanie 2-3 nieistotnych plików. Notatka zawiera dane kontaktowe do komunikacji, w tym dwa adresy e-mail: ithelp11@securitymy.name i ithelp11@yousheltered.com.

Żądanie okupu kończy się ostrzeżeniem, że brak kontaktu z atakującymi w ciągu 72 godzin spowoduje podwyższenie ceny oprogramowania deszyfrującego.

BuSaveLock Nota okupu grozi wyciekiem skradzionych informacji

Pełny tekst żądania okupu BuSaveLock brzmi następująco:

TWÓJ OSOBISTY IDENTYFIKATOR:

SIEĆ TWOJEJ FIRMY ZOSTAŁA PENETROWANA
Wszystkie ważne pliki zostały zaszyfrowane!

Twoje pliki są bezpieczne! Tylko zmodyfikowane. (RSA+AES)

WSZELKIE PRÓBY PRZYWRÓCENIA PLIKÓW ZA POMOCĄ OPROGRAMOWANIA OSÓB TRZECICH
BĘDZIE TO TRWAŁE USZKODZIĆ.
NIE MODYFIKUJ ZASZYFROWANYCH PLIKÓW.
NIE ZMIENIAJ NAZW ZASZYFROWANYCH PLIKÓW.

Żadne oprogramowanie dostępne w Internecie nie może ci pomóc. Jesteśmy jedynymi, którzy mogą
rozwiązać swój problem.

Zebraliśmy wysoce poufne/dane osobowe. Te dane są obecnie przechowywane na
prywatny serwer. Ten serwer zostanie natychmiast zniszczony po dokonaniu płatności.
Jeśli zdecydujesz się nie płacić, udostępnimy Twoje dane publicznie lub odsprzedawcy.
Możesz więc spodziewać się, że Twoje dane będą publicznie dostępne w najbliższej przyszłości.

Szukamy tylko pieniędzy, a naszym celem nie jest niszczenie Twojej reputacji ani zapobieganie
Twoja firma nie działa.

Możesz przesłać nam 2-3 nieistotne pliki, a my odszyfrujemy je za darmo
aby udowodnić, że jesteśmy w stanie zwrócić Twoje pliki.

Skontaktuj się z nami w sprawie ceny i uzyskaj oprogramowanie deszyfrujące.

e-mail:
ithelp11@securitymy.name
ithelp11@yousheltered.com

• Aby się z nami skontaktować, utwórz nowe bezpłatne konto e-mail na stronie: protonmail.com
  JEŚLI NIE SKONTAKTUJESZ SIĘ Z NAMI W CIĄGU 72 GODZIN, CENA BĘDZIE WYŻSZA.

W jaki sposób ransomware, takie jak BuSaveLock, może przeniknąć do twojego systemu?

Ransomware, takie jak BuSaveLock, może przeniknąć do twojego systemu różnymi metodami, w tym:

Załączniki do wiadomości e-mail: Jedną z powszechnych metod są złośliwe załączniki do wiadomości e-mail. Hakerzy ukrywają oprogramowanie ransomware pod niewinnie wyglądającymi plikami, takimi jak dokumenty lub pliki PDF, i wysyłają je jako załączniki do wiadomości e-mail. Jeśli nieświadomie otworzysz i pobierzesz załącznik, ransomware zostanie uruchomione w twoim systemie.

Złośliwe łącza: ransomware może być również rozpowszechniane za pośrednictwem e-maili phishingowych lub wiadomości zawierających łącza do zainfekowanych stron internetowych. Kliknięcie tych linków może prowadzić do pobrania i uruchomienia ransomware w twoim systemie.

Zestawy exploitów: Cyberprzestępcy mogą wykorzystywać luki w nieaktualnym oprogramowaniu lub systemach operacyjnych. Korzystając z zestawów exploitów, mogą one automatycznie wprowadzać ransomware do twojego systemu, gdy odwiedzasz zainfekowane strony internetowe lub klikasz złośliwe reklamy.

Złośliwe pliki do pobrania: ransomware może być ukryte w pozornie nieszkodliwych plikach do pobrania z niezaufanych lub zainfekowanych stron internetowych. Może to obejmować łamanie oprogramowania, generatory kluczy lub pirackie treści, w przypadku których ładunek ransomware jest dołączony do zamierzonego pobrania.

Luki w zabezpieczeniach protokołu Remote Desktop Protocol (RDP): jeśli w systemie jest włączony protokół Remote Desktop Protocol i jest on dostępny przez Internet ze słabymi lub przejętymi danymi uwierzytelniającymi, osoby atakujące mogą wykorzystać te luki w celu uzyskania nieautoryzowanego dostępu i zainstalowania oprogramowania wymuszającego okup.

Złośliwe reklamy: złośliwe reklamy, znane również jako złośliwe reklamy, mogą pojawiać się na legalnych stronach internetowych. Reklamy te mogą zawierać złośliwy kod, który po kliknięciu może spowodować pobranie i instalację ransomware.

Automatyczne pobieranie: Oprogramowanie ransomware może być również rozpowszechniane poprzez automatyczne pobieranie, które ma miejsce, gdy odwiedzasz zaatakowaną witrynę, która automatycznie pobiera i uruchamia oprogramowanie ransomware bez Twojej wiedzy lub interakcji.