GoodWill Ransomware
Με την πρώτη ματιά, η απειλή GoodWill Ransomware φαίνεται να είναι ένα ακόμη επιβλαβές κακόβουλο λογισμικό που έχει σχεδιαστεί για να κλειδώνει τα δεδομένα των θυμάτων του. Και, πράγματι, η απειλή είναι απολύτως ικανή να το κάνει αυτό. Γραπτό σε .NET, το GoodWill Ransomware χρησιμοποιεί τον κρυπτογραφικό αλγόριθμο AES για την κρυπτογράφηση πολλών σημαντικών τύπων αρχείων σε συσκευές που έχουν παραβιαστεί. Τα επηρεαζόμενα αρχεία περιλαμβάνουν βάσεις δεδομένων, εικόνες, έγγραφα, αρχεία κ.λπ. Η απειλή εισέρχεται επίσης σε κατάσταση αναστολής λειτουργίας για 722,45 δευτερόλεπτα, ως ένας τρόπος για να παρεμποδίσει τυχόν προσπάθειες δυναμικής ανάλυσης.
Ωστόσο, όταν ερευνητές από την εταιρεία ανάλυσης απειλών CloudSEK εξέτασαν το σημείωμα λύτρων του GoodWill Ransomware, ανακάλυψαν κάτι ασυνήθιστο. Αντί για τις τυπικές οδηγίες σχετικά με τον τρόπο πληρωμής λύτρων στους εγκληματίες του κυβερνοχώρου, το πολυσέλιδο σημείωμα της GoodWill ζητά από τους χρήστες να κάνουν 3 φιλανθρωπικές ενέργειες. Μετά την ολοκλήρωση κάθε βήματος, τα θύματα καλούνται να δημοσιεύσουν selfies και να μοιραστούν την εμπειρία στους λογαριασμούς τους στα μέσα κοινωνικής δικτύωσης. Οι χειριστές του GoodWill Ransomware θα επαληθεύσουν ότι κάθε εργασία έχει εκτελεστεί και θα υπόσχονται να στείλουν ένα πλήρες κιτ αποκρυπτογράφησης που αποτελείται από ένα εργαλείο λογισμικού, ένα αρχείο κωδικού πρόσβασης και ένα εκπαιδευτικό βίντεο στα θύματά τους. Όσο για τις τρεις γενναιόδωρες πράξεις που περιγράφονται στο σημείωμα, αυτές είναι:
- Δραστηριότητα 1 - Δωρίστε ρούχα σε άστεγους
- Δραστηριότητα 2 - Πληρώστε πέντε λιγότερο τυχερά παιδιά που θα πάνε στο Dominos, στο KFC ή στο Pizza Hut.
- Δραστηριότητα 3 - Πληρώστε τον ιατρικό λογαριασμό ενός άτυχου ατόμου που χρειάζεται επειγόντως θεραπεία αλλά δεν έχει τα χρήματα για αυτήν.
Θα πρέπει να σημειωθεί ότι κατά την ανάλυση της απειλής, το CloudSEK ανακάλυψε πολλαπλές συνδέσεις που κατευθύνονται προς τους χειριστές του GoodWill Ransomware που προέρχονται από την Ινδία. Τα στοιχεία αποτελούνται από μια διεύθυνση ηλεκτρονικού ταχυδρομείου που προέρχεται από την Ινδία, την ύπαρξη συμβολοσειρών που περιέχουν λέξεις στα Χίντι και δύο διευθύνσεις IP που βρίσκονταν στη Βομβάη της Ινδίας.
