Keylock Ransomware använder lång ransomnotering

Våra forskare identifierade Keylock som en typ av ransomware-program under en regelbunden granskning av nya filinlämningar. Ransomware fungerar genom att kryptera filer och sedan kräva betalning för deras dekryptering.

På vårt testsystem krypterade Keylock filer och lade till filnamnstillägget ".keylock". Till exempel, en fil som ursprungligen hette "1.jpg" blev "1.jpg.keylock", "2.png" förvandlats till "2.png.keylock" och så vidare för alla berörda filer.

När krypteringsprocessen var klar genererades en lösennota med titeln "README-id-[användarnamn].txt". Keylock ändrade också skrivbordsunderlägget.

Tapeten från Keylock guidar offret till textfilen. Lösenedeln i den här filen förklarar att de otillgängliga filerna har krypterats och antyder att offrets data har tagits.

För att återställa data måste offret skaffa den unika dekrypteringsnyckeln som innehas av angriparna. För att erhålla dekrypteringsverktygen måste du betala en ospecificerad lösen i Bitcoin kryptovaluta. Offret får 72 timmar på sig att kontakta cyberbrottslingarna; underlåtenhet att göra det kommer att resultera i att de stulna företagsuppgifterna avslöjas eller säljs.

Innan de gör några betalningar har offret möjlighet att testa dekrypteringsprocessen genom att skicka upp till tre krypterade filer till angriparna. Dessa filer bör inte överstiga 2 MB och bör inte innehålla värdefull information.

Meddelandet varnar också för att döpa om, ändra eller ta bort de krypterade filerna, försöka manuell dekryptering eller använda återställningsprogram eller antivirusverktyg från tredje part, eftersom dessa åtgärder kan resultera i permanent dataförlust.

Keylock Ransom Note hotar läckage 72 timmar efter attack

Den fullständiga texten i nyckellåsets lösennota lyder som följer:

DINA FILER ÄR KRYPTERADE

Dina filer har krypterats med starka krypteringsalgoritmer och modifierats och har nu tillägget '.keylock'!
Filstrukturen var inte skadad. Oroa dig inte att din unika krypteringsnyckel lagras säkert på vår server och dina data kan dekrypteras snabbt och säkert.
Vi garanterar att du enkelt kan återställa all din data.
Vi ger dig full instruktion. Och hjälpa dig tills dekrypteringsprocessen är helt klar.

Vi kan bevisa att vi kan dekryptera all din data. Skicka oss bara 3 icke viktiga, små (~2mb) krypterade filer, som lagras slumpmässigt på din server. Bifoga även din README-id.txt som lämnats av oss i varje mapp.
Vi kommer att dekryptera dessa filer och skicka dem till dig som ett bevis. Observera att filer för gratis testdekryptering inte bör innehålla värdefull information.

Om du inte kommer att inleda en dialog med oss inom 72 timmar kommer vi att tvingas publicera dina filer i det offentliga området. Dina kunder och partners kommer att informeras om dataläckan.
På så sätt kommer ditt rykte att förstöras. Om du inte reagerar kommer vi att tvingas sälja den viktigaste informationen såsom databaser och personuppgifter till intresserade parter för att generera lite vinst.
Det är bara ett företag.
Vi bryr oss absolut inte om dig och dina erbjudanden, förutom att få förmåner.
Om vi inte gör vårt arbete och våra skyldigheter - kommer ingen att samarbeta med oss. Det ligger inte i vårt intresse.

Om du vill dekryptera dina filer måste du betala med Bitcoins.
Om du vill lösa denna situation, bifoga den här filen README-id.txt i brevet och skriv till ALLA dessa 2 e-postadresser:

nyckelring@onionmail.org
keybranch@mailfence.com

Du kan också skicka ett meddelande till oss på Telegram: hxxps://t.me/key_chain

VIKTIG!
Vi rekommenderar att du kontaktar oss direkt för att undvika överbetalande agenter. Du data krypterad och bara VI ÄR har dekrypteringsnyckel. För att dekryptera din data behöver du bara 1 timme, efter betalning, inte mer än.
Vi ber att skicka ditt meddelande till ALLA våra 2 e-postadresser och Telegram, eftersom din e-post av olika anledningar kanske inte kommer att levereras.
Vårt meddelande kan kännas igen som skräppost, så se till att kontrollera skräppostmappen.
Om vi inte svarar dig inom 24 timmar, skriv till oss från en annan e-postadress.
Slösa inte bort tiden, det kommer bara att leda till ytterligare skador på ditt företag.
Byt inte namn och försök att dekryptera filerna själv. Vi kommer inte att kunna hjälpa dig om filerna kommer att ändras.
Om du försöker använda någon programvara från tredje part för att återställa dina data eller antiviruslösningar, gör en säkerhetskopia för alla krypterade filer.
Om du tar bort några krypterade filer från den aktuella datorn kanske du inte kan dekryptera dem.

Varför använder Ransomware-aktörer dataläckagehot?

Ransomware-aktörer använder dataläckagehot av flera anledningar:

• Ökad hävstångseffekt: Att hota att läcka känslig data ger operatörer av ransomware ökad inflytande över sina offer. Det lägger till ett extra lager av tryck genom att få offret att känna att inte bara deras filer är krypterade och otillgängliga, utan att deras privata och potentiellt skadliga information också kan exponeras för allmänheten.
• Högre lösensumma: Offren är mer benägna att betala ett högre lösensumma när de tror att den stulna informationen är känslig, konfidentiell eller värdefull. Rädslan för skada på ryktet, juridiska konsekvenser eller ekonomisk förlust kan driva offer att möta kraven på lösen.
• Rykteskada: Dataläckor kan allvarligt skada en organisations rykte. Om känslig eller privat information avslöjas kan det urholka förtroendet bland kunder, partners och intressenter. Företag vill ofta förhindra dataläckor till varje pris för att skydda sin image.
• Juridiska frågor och efterlevnadsproblem: Hot om dataläckor kan skapa betydande juridiska och efterlevnadsproblem för organisationer. Beroende på typen av stulna data kan organisationer bli föremål för böter och rättsliga åtgärder. Att betala lösen kan tyckas vara ett sätt att undvika dessa potentiella konsekvenser.
• Public Shaming: Vissa ransomware-grupper använder dataläckagehot som en taktik för att offentligt skämma ut sina offer. De kan läcka en del av den stulna informationen eller tillhandahålla bevis på intrånget, vilket kan leda till negativ medieuppmärksamhet och offentlig förlägenhet för offrets organisation.
• Press att betala snabbt: Hotet om dataläckor kommer ofta med en snäv deadline, vilket tvingar offren att fatta snabba beslut. Denna brådska kan leda till förhastade lösenutbetalningar för att förhindra dataexponering.