OlSaveLock Ransomware to nowy wariant MedusaLocker

Podczas rutynowej analizy nowych złośliwych plików nasz zespół badaczy wykrył ransomware OlSaveLock. To złośliwe oprogramowanie działa poprzez szyfrowanie danych i żądanie okupu w zamian za odszyfrowanie. Warto zauważyć, że OlSaveLock jest członkiem osławionej rodziny ransomware MedusaLocker.

W naszym środowisku testowym OlSaveLock skutecznie zaszyfrował pliki i dodał odrębne rozszerzenie „.olsavelock31” do ich oryginalnych nazw plików. Na przykład plik o nazwie „1.jpg” pojawi się jako „1.jpg.olsavelock31”, a „2.png” jako „2.png.olsavelock31” i tak dalej. Należy zauważyć, że konkretna liczba w rozszerzeniu może się różnić w zależności od wariantu oprogramowania ransomware. Dodatkowo OlSaveLock zdeponował żądanie okupu o nazwie "How_to_back_files.html" na pulpicie.

Treść żądania okupu wyraźnie wskazuje, że celem OlSaveLock są przede wszystkim duże organizacje, a nie indywidualni użytkownicy domowi. Zgodnie z komunikatem, sieć korporacyjna ofiary została naruszona. Zakres szkód opisany jest jako zaszyfrowanie kluczowych plików z wykorzystaniem algorytmów kryptograficznych RSA i AES, wraz z nieautoryzowanym wydobyciem danych wrażliwych i osobowych.

W notatce stwierdza się, że zapłacenie okupu jest niezbędne do odszyfrowania plików, których dotyczy problem, i zapobieżenia ujawnieniu lub sprzedaży skradzionych informacji. Przed dokonaniem płatności ofierze oferowana jest możliwość przetestowania procesu deszyfrowania na trzech plikach, które nie zawierają cennych danych.

Chociaż konkretna kwota okupu nie jest określona w notatce, sugeruje się, że suma ta wzrośnie, jeśli ofiara nie nawiąże kontaktu z napastnikami w ciągu 72 godzin. Ponadto ofiara jest wyraźnie ostrzegana, że wszelkie próby zmiany nazwy lub modyfikacji zaszyfrowanych plików, jak również użycie narzędzi deszyfrujących innych firm, spowodują trwałą utratę danych.

Uwaga dotycząca okupu OlSaveLock grozi podwyżką okupu w ciągu 72 godzin

Pełny tekst żądania okupu OlSaveLock brzmi następująco:

TWÓJ OSOBISTY IDENTYFIKATOR:

SIEĆ TWOJEJ FIRMY ZOSTAŁA PENETROWANA
Wszystkie ważne pliki zostały zaszyfrowane!

Twoje pliki są bezpieczne! Tylko zmodyfikowane. (RSA+AES)

WSZELKIE PRÓBY PRZYWRÓCENIA PLIKÓW ZA POMOCĄ OPROGRAMOWANIA OSÓB TRZECICH
BĘDZIE TO TRWAŁE USZKODZIĆ.
NIE MODYFIKUJ ZASZYFROWANYCH PLIKÓW.
NIE ZMIENIAJ NAZW ZASZYFROWANYCH PLIKÓW.

Żadne oprogramowanie dostępne w Internecie nie może ci pomóc. Jesteśmy jedynymi, którzy mogą
rozwiązać swój problem.

Zebraliśmy wysoce poufne/dane osobowe. Te dane są obecnie przechowywane na
prywatny serwer. Ten serwer zostanie natychmiast zniszczony po dokonaniu płatności.
Jeśli zdecydujesz się nie płacić, udostępnimy Twoje dane publicznie lub odsprzedawcy.
Możesz więc spodziewać się, że Twoje dane będą publicznie dostępne w najbliższej przyszłości.

Szukamy tylko pieniędzy, a naszym celem nie jest niszczenie Twojej reputacji ani zapobieganie
Twoja firma nie działa.

Możesz przesłać nam 2-3 nieistotne pliki, a my odszyfrujemy je za darmo
aby udowodnić, że jesteśmy w stanie zwrócić Twoje pliki.

Skontaktuj się z nami w sprawie ceny i uzyskaj oprogramowanie deszyfrujące.

e-mail:
ithelp10@securitymy.name
ithelp10@yousheltered.com

• Aby się z nami skontaktować, utwórz nowe bezpłatne konto e-mail na stronie: protonmail.com
  JEŚLI NIE SKONTAKTUJESZ SIĘ Z NAMI W CIĄGU 72 GODZIN, CENA BĘDZIE WYŻSZA.

W jaki sposób ransomware, takie jak OlSaveLock, jest zwykle dostarczane do systemu ofiary?

Dostarczenie oprogramowania ransomware, takiego jak OlSaveLock, do systemów ofiar zazwyczaj obejmuje różne metody i techniki. Oto kilka typowych sposobów dostarczania oprogramowania ransomware:

• E-maile phishingowe: e-maile phishingowe pozostają popularną metodą dostarczania oprogramowania ransomware. Atakujący wysyłają pozornie legalne wiadomości e-mail ze złośliwymi załącznikami lub linkami. Te e-maile często podszywają się pod renomowane organizacje, nakłaniając odbiorców do otwarcia załączników lub kliknięcia linków, które pobierają oprogramowanie ransomware do ich systemów.
• Złośliwe pobieranie: ransomware może być również dostarczane poprzez złośliwe pobieranie z zainfekowanych stron internetowych lub oszukańcze reklamy (malvertising). Odwiedzanie zainfekowanych stron internetowych lub klikanie złośliwych reklam może spowodować automatyczne pobranie i wykonanie ładunku ransomware.
• Zestawy eksploitów: zestawy eksploitów to zestawy narzędzi, które wykorzystują luki w oprogramowaniu lub systemach operacyjnych. Wykorzystując luki w zabezpieczeniach, mogą po cichu dostarczać i instalować oprogramowanie ransomware w podatnych na ataki systemach bez interakcji użytkownika. Luki te można znaleźć w przestarzałym oprogramowaniu lub niezałatanych systemach.
• Ataki Remote Desktop Protocol (RDP): Atakujący mogą atakować systemy, które mają włączony Remote Desktop Protocol (RDP), ale mają słabe lub łatwe do odgadnięcia dane logowania. Próbują uzyskać nieautoryzowany dostęp do systemu, a następnie wdrażają ransomware.
• Złośliwe łącza i strony internetowe: oprogramowanie ransomware może być rozpowszechniane za pośrednictwem złośliwych łączy udostępnianych w mediach społecznościowych, komunikatorach internetowych lub zainfekowanych witrynach internetowych. Kliknięcie tych linków lub odwiedzenie zainfekowanych stron internetowych może spowodować pobranie i uruchomienie oprogramowania ransomware.
• Pobieranie automatyczne: pobieranie automatyczne ma miejsce, gdy oprogramowanie ransomware jest automatycznie pobierane i instalowane bez wiedzy lub interakcji użytkownika podczas odwiedzania zainfekowanej lub złośliwej witryny. Wykorzystując luki w zabezpieczeniach przeglądarek lub wtyczek, oprogramowanie ransomware jest dostarczane potajemnie.

Należy zauważyć, że te metody dostarczania mogą ewoluować i z czasem mogą pojawić się nowe techniki. Aby chronić się przed atakami ransomware, kluczowe znaczenie ma utrzymywanie aktualnego oprogramowania zabezpieczającego, regularne instalowanie poprawek i aktualizacji, zachowanie ostrożności podczas otwierania załączników do wiadomości e-mail lub klikanie w łącza oraz wdrażanie silnych kontroli dostępu i środków bezpieczeństwa w systemach i sieciach. Regularne tworzenie kopii zapasowych danych i edukacja użytkowników w zakresie rozpoznawania i unikania potencjalnych zagrożeń również odgrywają kluczową rolę w łagodzeniu skutków ataków ransomware.