Ransomware LostTrust atakuje firmy

Podczas badania próbek złośliwego oprogramowania natknęliśmy się na wariant oprogramowania ransomware znany jako LostTrust. Głównym celem LostTrust jest szyfrowanie danych, czyniąc je niedostępnymi dla ofiar. Ponadto LostTrust dołącza rozszerzenie „.losttrustencoded” do nazw plików i dostarcza notatkę z żądaniem okupu oznaczoną jako „!LostTrustEncoded.txt”.

Aby zilustrować, jak LostTrust zmienia nazwy plików, przekształca „1.jpg” w „1.jpg.losttrustencoded”, „2.png” w „2.png.losttrustencoded” i tak dalej.

W notatce stwierdza się, że napastnicy uzyskali znaczną ilość krytycznych danych z sieci ofiary i proponuje się udostępnienie na żądanie szczegółowej listy zaatakowanych plików. Obiecują również, że odszyfrują kilka plików za darmo, pod warunkiem, że każdy plik nie będzie większy niż 5 megabajtów.

Notatka zapewnia, że dokonanie płatności zakończy się pomyślnym odszyfrowaniem wszystkich danych i ujawnieniem podatności wykorzystanych do infiltracji sieci.

Ponadto wskazano w nim potencjalne konsekwencje braku współpracy, które obejmują publiczne udostępnienie lub sprzedaż skradzionych danych, trwające cyberataki, atakowanie partnerów i dostawców oraz możliwość podjęcia kroków prawnych w przypadku naruszenia danych. Notatka zawiera instrukcje dotyczące kontaktowania się z atakującymi za pośrednictwem przeglądarki Tor, czatu na żywo w ich witrynie internetowej lub sieci VPN, jeśli Tor jest ograniczony na obszarze ofiary.

W notatce cyberprzestępcy wyznaczają trzydniowy termin na zainicjowanie kontaktu i ostrzegają, że klucze deszyfrujące zostaną trwale zniszczone, jeśli nie nastąpi żadna komunikacja. Grożą także opublikowaniem danych ofiary, jeśli zaangażowani zostaną negocjatorzy z zewnątrz.

List z żądaniem okupu LostTrust wskazuje, że hakerzy atakują firmy

Pełny tekst żądania okupu LostTrust brzmi następująco:

Do zarządu.

Twoja sieć została zaatakowana przez różne luki znalezione w Twoim systemie.
Uzyskaliśmy pełny dostęp do całej infrastruktury sieciowej.

Nasz zespół posiada rozległą wiedzę z zakresu prawa i tzw. hackingu w białym kapeluszu.
Jednak klienci zwykle uważali, że znalezione luki są niewielkie i słabe
zapłacił za nasze usługi.
Dlatego postanowiliśmy zmienić nasz model biznesowy. Teraz rozumiesz, jakie to ważne
przeznaczyć dobry budżet na bezpieczeństwo IT.
To dla nas poważna sprawa i naprawdę nie chcemy rujnować Twojej prywatności,
reputacja i firma.
Chcemy po prostu zarabiać za naszą pracę polegającą na znajdowaniu luk w zabezpieczeniach różnych sieci.

Twoje pliki są obecnie szyfrowane za pomocą naszego, dostosowanego do indywidualnych potrzeb, najnowocześniejszego algorytmu.
Nie próbuj kończyć nieznanych procesów, nie wyłączaj serwerów, nie odłączaj napędów,
wszystko to może prowadzić do częściowej lub całkowitej utraty danych.

Udało nam się także pobrać z Twojej sieci dużą ilość różnorodnych, kluczowych danych.
Pełna lista plików i próbek zostanie udostępniona na żądanie.

Możemy odszyfrować kilka plików za darmo. Rozmiar każdego pliku nie może przekraczać 5 megabajtów.

Wszystkie Twoje dane zostaną pomyślnie odszyfrowane natychmiast po dokonaniu płatności.
Otrzymasz również szczegółową listę luk wykorzystywanych do uzyskania dostępu do Twojej sieci.

Jeśli odmówisz współpracy z nami, będzie to miało dla Twojej firmy następujące konsekwencje:

1. Wszystkie dane pobrane z Twojej sieci zostaną opublikowane za darmo lub nawet sprzedane
2. Teraz, gdy znamy wszystkie Twoje słabe punkty, Twój system będzie stale atakowany
3. Zaatakujemy także Twoich partnerów i dostawców, korzystając z informacji uzyskanych z Twojej sieci
4. Może to prowadzić do podjęcia kroków prawnych przeciwko Tobie w związku z naruszeniem danych

!!!!Instrukcja kontaktu z naszym zespołem!!!!
Pobierz i zainstaluj przeglądarkę TOR z tej strony: hxxps://torproject.org
Aby skontaktować się z nami poprzez CZAT NA ŻYWO, otwórz naszą stronę internetową: -
Jeśli Tor jest ograniczony na Twoim obszarze, użyj VPN
Wszystkie Twoje dane zostaną opublikowane w ciągu 3 dni, jeśli NIE nawiążesz kontaktu
Twoje klucze odszyfrowujące zostaną trwale zniszczone w ciągu 3 dni, jeśli nie nawiążesz kontaktu
Twoje dane zostaną opublikowane, jeśli zatrudnisz zewnętrznych negocjatorów do skontaktowania się z nami

W jaki sposób oprogramowanie ransomware typu LostTrust jest dystrybuowane w Internecie?

Ransomware takie jak LostTrust jest zazwyczaj dystrybuowane w Internecie przy użyciu różnych metod i technik. Cyberprzestępcy stosują szereg strategii, aby infekować systemy ofiar tego typu złośliwym oprogramowaniem:

• Wiadomości e-mail typu phishing: Jedna z najpopularniejszych metod dystrybucji polega na wysyłaniu złośliwych wiadomości e-mail, które wyglądają na wiarygodne. Te e-maile mogą zawierać zainfekowane załączniki (np. dokumenty programu Word lub pliki PDF) lub łącza do złośliwych witryn internetowych. Gdy ofiara otworzy załącznik lub kliknie łącze, oprogramowanie ransomware zostaje pobrane i wykonane w jej systemie.
• Złośliwe pliki do pobrania: Cyberprzestępcy mogą tworzyć fałszywe witryny internetowe lub naruszać legalne witryny w celu hostowania złośliwego oprogramowania. Ofiary mogą nieświadomie pobrać oprogramowanie ransomware, odwiedzając te witryny lub klikając złośliwe reklamy.
• Zestawy exploitów: Zestawy exploitów to zestawy narzędzi zawierające exploity wykorzystujące znane luki w oprogramowaniu i przeglądarkach. Cyberprzestępcy wykorzystują te zestawy do automatycznego infekowania systemów, które nie zostały załatane lub zaktualizowane o najnowsze poprawki zabezpieczeń. Po włamaniu do systemu dostarczane jest oprogramowanie ransomware.
• Pobieranie metodą drive-by: ta metoda polega na infekowaniu stron internetowych złośliwym kodem. Kiedy użytkownik odwiedza zainfekowaną witrynę internetową, oprogramowanie ransomware jest automatycznie pobierane i uruchamiane na jego komputerze bez konieczności podejmowania jakichkolwiek działań ze strony użytkownika.
• Złośliwe reklamy: Cyberprzestępcy mogą naruszać sieci reklamowe online i wyświetlać złośliwe reklamy (złośliwe reklamy) w legalnych witrynach internetowych. Kliknięcie tych złośliwych reklam może prowadzić do infekcji ransomware.
• Ataki na protokół Remote Desktop Protocol (RDP): osoby atakujące mogą wykorzystać słabe lub domyślne poświadczenia RDP, aby uzyskać nieautoryzowany dostęp do systemu ofiary. Po wejściu do środka mogą ręcznie zainstalować oprogramowanie ransomware.
• Ataki Watering Hole: W ramach tej metody cyberprzestępcy atakują strony internetowe, które są często odwiedzane przez ich zamierzone ofiary. Narażają te witryny, aby dostarczać oprogramowanie ransomware odwiedzającym, którzy ufają zawartości witryny.
• Inżynieria społeczna: Cyberprzestępcy mogą stosować taktyki inżynierii społecznej, aby nakłonić użytkowników do pobrania i uruchomienia oprogramowania ransomware. Mogą na przykład podszywać się pod personel pomocy technicznej lub stosować taktykę zastraszania, aby przekonać ofiary do zainstalowania złośliwego oprogramowania.