Jkwerlo Ransomware

Το Jkwerlo προσδιορίζεται ως ένα μη ασφαλές πρόγραμμα που εμπίπτει στην κατηγορία του ransomware. Η κύρια λειτουργικότητά του περιστρέφεται γύρω από την κρυπτογράφηση δεδομένων και στη συνέχεια την απαίτηση πληρωμής με αντάλλαγμα την αποκρυπτογράφηση. Σε αντίθεση με πολλές άλλες παραλλαγές ransomware που συνήθως αλλάζουν τους τίτλους των κλειδωμένων αρχείων προσθέτοντας επεκτάσεις, το Jkwerlo διακρίνεται με το να απέχει από την τροποποίηση των αρχικών ονομάτων των επηρεαζόμενων αρχείων. Με την ολοκλήρωση της διαδικασίας κρυπτογράφησης, το συγκεκριμένο ransomware δημιουργεί μια σημείωση λύτρων με τίτλο "IMPORTANT_README.txt". Το σημείωμα χρησιμεύει ως μέσο επικοινωνίας των εισβολέων με το θύμα, περιγράφοντας τους όρους και τις προϋποθέσεις για την πληρωμή λύτρων και παρέχοντας οδηγίες για το πώς να προχωρήσουν στη διαδικασία αποκρυπτογράφησης.

Το Jkwerlo Ransomware εμφανίζει εξελιγμένες επιβλαβείς λειτουργίες

Το Jkwerlo ξεχωρίζει ως ένα εξελιγμένο στέλεχος ransomware, επιδεικνύοντας ένα επίπεδο πολυπλοκότητας στις λειτουργίες του. Συγκεκριμένα, έχει παρατηρηθεί ότι στοχεύει χρήστες που επικοινωνούν στα ισπανικά και στα γαλλικά. Οι επιθέσεις χρησιμοποιούν ξεχωριστές αλυσίδες μόλυνσης, καθεμία από τις οποίες χαρακτηρίζεται από διαφορετικά επίπεδα πολυπλοκότητας.

Όταν διεισδύει σε συστήματα, το Jkwerlo συνήθως φτάνει με τη μορφή ενός σχετικά συμπαγούς εκτελέσιμου αρχείου, που κυμαίνεται από 5 έως 6 megabyte, έξυπνα μεταμφιεσμένο με ένα εικονίδιο εγγράφου PDF. Το κακόβουλο λογισμικό βασίζεται σε μεγάλο βαθμό στις εντολές του PowerShell για να πραγματοποιήσει τις απειλητικές του δραστηριότητες, επιδεικνύοντας ευελιξία στην εκτέλεση μιας σειράς εντολών.

Ένα αξιοσημείωτο χαρακτηριστικό του Jkwerlo είναι η ικανότητά του να τερματίζει διεργασίες, ιδιαίτερα αυτές που σχετίζονται με ενεργά ανοιχτά αρχεία, όπως προγράμματα βάσης δεδομένων και προγράμματα ανάγνωσης αρχείων κειμένου. Με αυτόν τον τρόπο, το ransomware αποφεύγει στρατηγικά τις εξαιρέσεις κρυπτογράφησης που μπορεί να προκύψουν από αρχεία που θεωρούνται "σε χρήση". Επιπλέον, το πρόγραμμα λαμβάνει πρόσθετα μέτρα για να ενισχύσει τον αντίκτυπό του, όπως τη διαγραφή των αντιγράφων τόμου σκιάς, εξαλείφοντας μια πιθανή λεωφόρο ανάκτησης.

Στην προσπάθειά του για επιμονή και αποφυγή, το Jkwerlo τροποποιεί τα δεδομένα διαμόρφωσης εκκίνησης (BCD), απενεργοποιώντας σημαντικά στοιχεία ασφαλείας όπως το Microsoft Defender Antivirus, συμπεριλαμβανομένης της πρόσβασης σε ελεγχόμενο φάκελο. Επιπλέον, επιχειρεί να διαγράψει τα εκτελέσιμα για το Task Manager (Taskmgr.exe) και το Resource Monitor (Resmon.exe), περιπλέκοντας περαιτέρω τις προσπάθειες μετριασμού και ανίχνευσης για τους επαγγελματίες ασφαλείας. Αυτή η πολύπλευρη προσέγγιση υπογραμμίζει την πολυπλοκότητα του ransomware και ενισχύει τη σημασία των ισχυρών μέτρων κυβερνοασφάλειας για την αντιμετώπιση των βλαβερών δραστηριοτήτων του.

Το Jkwerlo Ransomware προσπαθεί να αποσπάσει πληρωμές λύτρων από τα θύματά του

Το σημείωμα λύτρων του Jkwerlo γνωστοποιεί ρητά ότι τα αρχεία που κατέστησαν απρόσιτα έχουν υποστεί κρυπτογράφηση, προειδοποιώντας για τυχόν προσπάθειες χειροκίνητης αποκρυπτογράφησης λόγω του κινδύνου να καταστούν τα δεδομένα μη ανακτήσιμα. Το κλειδί για την ανάκτηση αυτών των αρχείων βρίσκεται στην κατοχή του κλειδιού αποκρυπτογράφησης, ένα κρίσιμο στοιχείο που προστατεύεται από τους εισβολείς. Για να αποκτήσουν αυτό το κλειδί, τα θύματα αναγκάζονται να καταβάλουν λύτρα. Μόλις μεταφερθούν τα κεφάλαια, οι εγκληματίες του κυβερνοχώρου διασφαλίζουν την παράδοση εργαλείων αποκρυπτογράφησης και συνοδευτικών οδηγιών εντός χρονικού πλαισίου 24 ωρών.

Παρά τις υποσχέσεις αυτές, οι ερευνητές ασφάλειας πληροφοριών τονίζουν τη γενική αδυναμία αποκρυπτογράφησης χωρίς την άμεση εμπλοκή των εγκληματιών του κυβερνοχώρου. Οι περιπτώσεις όπου η αποκρυπτογράφηση είναι εφικτή συνήθως περιλαμβάνουν βαθιά ελαττωματικά ransomware, κάτι που είναι σπάνιο.

Επιδεινώνοντας τους κινδύνους, τα θύματα συχνά βρίσκονται χωρίς τα απαραίτητα κλειδιά ή εργαλεία για την αποκρυπτογράφηση των δεδομένων τους, ακόμη και μετά τη συμμόρφωση με τις απαιτήσεις για λύτρα. Κατά συνέπεια, οι ειδικοί αποθαρρύνουν σθεναρά να υποκύψουν σε αυτές τις απαιτήσεις, τονίζοντας την έλλειψη βεβαιότητας για την επιτυχή ανάκτηση αρχείων και την ακούσια υποστήριξη για εγκληματικές δραστηριότητες μέσω πληρωμών λύτρων.

Ενώ η αφαίρεση του ransomware από το λειτουργικό σύστημα είναι ένα απαραίτητο βήμα για την αποτροπή περαιτέρω κρυπτογράφησης δεδομένων, είναι σημαντικό να σημειωθεί ότι η αφαίρεση από μόνη της δεν επαναφέρει αυτόματα τα αρχεία που έχουν ήδη επηρεαστεί. Η προτεινόμενη λύση σε τέτοιες περιπτώσεις είναι να ξεκινήσει η ανάκτηση αρχείων από ένα αντίγραφο ασφαλείας που δημιουργήθηκε προηγουμένως, υπό την προϋπόθεση ότι υπάρχει και είναι αποθηκευμένο σε ξεχωριστή και ασφαλή τοποθεσία. Αυτή η προσέγγιση διασφαλίζει ένα πιο αξιόπιστο και αποτελεσματικό μέσο αποκατάστασης δεδομένων χωρίς να διαιωνίζεται ο κύκλος των πληρωμών λύτρων και της εγκληματικής δραστηριότητας.

Το σημείωμα λύτρων που δημιουργήθηκε από το Jkwerlo Ransomware είναι:

'Your computer files have been encrypted. DO NOT TURN OFF THE MACHINE OR TRY TO MODIFY THE FILES! Please, don't try either to decrypt them without the proper key, this may result in an unrecoverable state. It's nearly impossible to guess the key, so do not spend time on it.

When the payment it's done you will receive the decrypter and the instructions to recover the files within 24 hours.

Contact to recover the files:'

Η ισπανική παραλλαγή του σημειώματος λύτρων είναι:

'Hola,

Consulte la información vital que he compartido con usted mediante Google Drive.

Abra el archivo para ver los detalles.

Saludos.

AVISO DE CONFIDENCIALIDAD: Este correo electrónico y cualquier archivo transmitido son privados y confidenciales y son para uso exclusivo de los destinatarios a quienes está dirigido. Cualquier revisión, uso, divulgación, distribución o copia no autorizada de esta comunicación está estrictamente prohibida. Si recibió esta comunicación por error, elimínela y notifique inmediatamente al remitente a través de la dirección de devolución de correo electrónico. Gracias por su cumplimiento.

Por favor considere el medio ambiente antes de imprimir este e-mail.'

Υπάρχει επίσης μια γαλλόφωνη παραλλαγή του σημειώματος λύτρων του Jkwerlo:

'Bonjour,

Veuillez vous référer aux informations vitales que j'ai partagées avec vous à l'aide de Google Drive.

Ouvrez le fichier pour afficher les détails.

Salutations.

AVIS DE CONFIDENTIALITÉ: Cet e-mail et tous les fichiers transmis sont privés et confidentiels et sont uniquement destinés à l'usage du(des) destinataire(s) auquel il est adressé. Toute révision, utilisation, divulgation, distribution ou copie non autorisée de cette communication est strictement interdite. Si vous avez reçu cette communication par erreur, veuillez la supprimer et en informer immédiatement l'expéditeur via l'adresse e-mail de retour. Merci pour votre conformité.

Pensez à l'environnement avant d'imprimer cet e-mail.'