Ransomware Keylock wykorzystuje długi list z żądaniem okupu

Nasi badacze zidentyfikowali Keylock jako rodzaj programu ransomware podczas regularnego sprawdzania przesłanych nowych plików. Ransomware działa poprzez szyfrowanie plików, a następnie żądanie zapłaty za ich odszyfrowanie.

W naszym systemie testowym Keylock szyfrował pliki i dodał rozszerzenie „.keylock” do ich nazw. Na przykład plik pierwotnie nazwany „1.jpg” zmienił się na „1.jpg.keylock”, „2.png” zmienił się na „2.png.keylock” i tak dalej w przypadku wszystkich plików, których dotyczy problem.

Po zakończeniu procesu szyfrowania wygenerowano żądanie okupu zatytułowane „README-id-[nazwa użytkownika].txt”. Keylock zmienił także tapetę pulpitu.

Tapeta dostarczana przez Keylock prowadzi ofiarę do pliku tekstowego. Zawarta w tym pliku notatka z żądaniem okupu wyjaśnia, że niedostępne pliki zostały zaszyfrowane i sugeruje, że dane ofiary zostały zabrane.

Aby odzyskać dane, ofiara musi uzyskać unikalny klucz deszyfrujący przechowywany przez atakujących. Zdobycie narzędzi deszyfrujących wiąże się z koniecznością zapłacenia bliżej nieokreślonego okupu w kryptowalucie Bitcoin. Ofiara ma 72 godziny na skontaktowanie się z cyberprzestępcami; niezastosowanie się do tego spowoduje ujawnienie lub sprzedaż skradzionych danych firmy.

Przed dokonaniem jakichkolwiek płatności ofiara ma możliwość przetestowania procesu odszyfrowania, wysyłając atakującym maksymalnie trzy zaszyfrowane pliki. Pliki te nie powinny przekraczać rozmiaru 2MB i nie powinny zawierać cennych informacji.

Komunikat ostrzega również przed zmianą nazwy, modyfikowaniem lub usuwaniem zaszyfrowanych plików, próbami ręcznego odszyfrowania lub używaniem oprogramowania do odzyskiwania lub narzędzi antywirusowych innych firm, ponieważ działania te mogą spowodować trwałą utratę danych.

Żądanie okupu od klucza grozi wyciekiem 72 godziny po ataku

Pełny tekst żądania okupu od Keylock brzmi następująco:

TWOJE PLIKI SĄ ZASZYFROWANE

Twoje pliki zostały zaszyfrowane silnymi algorytmami szyfrowania i zmodyfikowane, a teraz mają rozszerzenie „.keylock”!
Struktura pliku nie została uszkodzona. Nie martw się, Twój unikalny klucz szyfrowania jest bezpiecznie przechowywany na naszym serwerze, a Twoje dane można odszyfrować szybko i bezpiecznie.
Gwarantujemy, że możesz łatwo odzyskać wszystkie swoje dane.
Udzielamy Ci pełnych instrukcji. I pomogę Ci, dopóki proces deszyfrowania nie zostanie całkowicie zakończony.

Możemy udowodnić, że potrafimy odszyfrować wszystkie Twoje dane. Prosimy o przesłanie nam 3 nieistotnych, małych (~2MB) zaszyfrowanych plików, które są losowo przechowywane na Twoim serwerze. Dołącz także pozostawiony przez nas plik README-id.txt w każdym folderze.
Odszyfrujemy te pliki i wyślemy je do Ciebie jako dowód. Należy pamiętać, że pliki do bezpłatnego testowego odszyfrowania nie powinny zawierać cennych informacji.

Jeśli w ciągu 72 godzin nie rozpoczniesz z nami dialogu, będziemy zmuszeni opublikować Twoje pliki w domenie publicznej. Twoi klienci i partnerzy zostaną poinformowani o wycieku danych.
W ten sposób Twoja reputacja zostanie zniszczona. Jeśli nie zareagujesz, będziemy zmuszeni sprzedać najważniejsze informacje, takie jak bazy danych i dane osobowe, zainteresowanym podmiotom, aby wygenerować jakiś zysk.
To tylko biznes.
Absolutnie nie dbamy o Ciebie i Twoje oferty, z wyjątkiem uzyskiwania korzyści.
Jeśli nie wykonamy swojej pracy i zobowiązań - nikt nie będzie z nami współpracował. To nie jest w naszym interesie.

Jeśli chcesz odszyfrować swoje pliki, będziesz musiał zapłacić w Bitcoinach.
Jeśli chcesz rozwiązać tę sytuację, dołącz do listu plik README-id.txt i napisz na WSZYSTKIE z tych 2 adresów e-mail:

pęk kluczy@onionmail.org
keybranch@mailfence.com

Możesz także wysłać nam wiadomość na Telegramie: hxxps://t.me/key_chain

WAŻNY!
Zalecamy bezpośredni kontakt z nami, aby uniknąć przepłacania agentów. Twoje dane są zaszyfrowane i tylko MY JESTEŚMY w posiadaniu klucza do odszyfrowania. Aby odszyfrować swoje dane, potrzebujesz tylko 1 godziny, po dokonaniu płatności, nie więcej niż.
Prosimy o przesłanie Twojej wiadomości na WSZYSTKIE nasze 2 adresy e-mail i Telegram, ponieważ z różnych powodów Twój e-mail może nie zostać dostarczony.
Nasza wiadomość może zostać rozpoznana jako spam, dlatego pamiętaj o sprawdzeniu folderu ze spamem.
Jeśli nie odpowiemy Ci w ciągu 24 godzin, napisz do nas z innego adresu e-mail.
Proszę nie marnować czasu, spowoduje to tylko dodatkowe szkody dla Twojej firmy.
Proszę nie zmieniać nazwy i próbować samodzielnie odszyfrować pliki. Jeśli pliki zostaną zmodyfikowane, nie będziemy w stanie Ci pomóc.
Jeśli będziesz próbował użyć oprogramowania innej firmy do przywrócenia danych lub rozwiązań antywirusowych, wykonaj kopię zapasową wszystkich zaszyfrowanych plików.
Jeśli usuniesz jakiekolwiek zaszyfrowane pliki z bieżącego komputera, ich odszyfrowanie może nie być możliwe.

Dlaczego uczestnicy oprogramowania ransomware wykorzystują zagrożenia związane z wyciekiem danych?

Podmioty ransomware wykorzystują zagrożenia wyciekiem danych z kilku powodów:

• Większa dźwignia: groźba wycieku wrażliwych danych daje operatorom oprogramowania ransomware większą przewagę nad swoimi ofiarami. Dodaje dodatkową warstwę presji, sprawiając, że ofiara ma poczucie, że nie tylko jej pliki są zaszyfrowane i niedostępne, ale także jej prywatne i potencjalnie szkodliwe informacje mogą zostać ujawnione opinii publicznej.
• Wyższe płatności okupu: ofiary są bardziej skłonne zapłacić wyższą kwotę okupu, jeśli uważają, że skradzione dane są wrażliwe, poufne lub cenne. Strach przed utratą reputacji, konsekwencjami prawnymi lub stratami finansowymi może skłonić ofiary do spełnienia żądań okupu.
• Szkoda na reputacji: Wycieki danych mogą poważnie zaszkodzić reputacji organizacji. Ujawnienie wrażliwych lub prywatnych informacji może podważyć zaufanie wśród klientów, partnerów i interesariuszy. Firmy często chcą za wszelką cenę zapobiegać wyciekom danych, aby chronić swój wizerunek.
• Obawy prawne i związane ze zgodnością: Zagrożenia wyciekiem danych mogą powodować poważne problemy prawne i związane z przestrzeganiem przepisów dla organizacji. W zależności od charakteru skradzionych danych organizacje mogą zostać ukarane karami regulacyjnymi i podjęciem kroków prawnych. Zapłata okupu może wydawać się sposobem na uniknięcie tych potencjalnych konsekwencji.
• Publiczne zawstydzanie: niektóre grupy zajmujące się oprogramowaniem ransomware wykorzystują groźby wycieku danych jako taktykę mającą na celu publiczne zawstydzenie swoich ofiar. Mogą ujawnić część skradzionych danych lub przedstawić dowód naruszenia, co może wywołać negatywne zainteresowanie mediów i publiczne zakłopotanie dla organizacji będącej ofiarą.
• Presja na szybką płatność: Groźba wycieku danych często wiąże się z napiętym terminem płatności, co zmusza ofiary do podejmowania szybkich decyzji. Ta pilność może prowadzić do pochopnych płatności okupu, aby zapobiec ujawnieniu danych.