Mount Locker Ransomware
Una nuova minaccia ransomware usata come arma contro le organizzazioni imprenditoriali è stata rilevata dai ricercatori di infosec. Chiamato Mount Locker Ransomware, questo malware è stato dotato di diversi nuovi trucchi quando l'obiettivo finale è estorcere denaro alle sue vittime.
Il ransomware Mount Locker richiede milioni di decrittazione
Gli hacker dietro il Mount Locker Ransowmare prendono di mira principalmente le entità aziendali. Violano la rete aziendale delle loro vittime e distribuiscono la minaccia Mount Locker Ransomware. Una volta all'interno, Mount Locker Ransomware procede a bloccare i file memorizzati sul computer, così come tutti i dispositivi di archiviazione collegati con una combinazione indistruttibile di algoritmi di crittografia. Prima di ciò, tuttavia, Mount Locker Ransomware esfiltra enormi blocchi di dati della vittima e minaccia di iniziare a farli trapelare su un sito Web sotto il controllo dei criminali informatici a meno che le loro richieste non vengano soddisfatte. In un caso, circa 400 GB di dati sono stati raccolti da Mount Locker Ransomware e successivamente caricati sul sito Web di fuga di dati, quando la vittima ha deciso di non pagare. Ciò è comprensibile se si considera che gli hacker volevano ricevere un riscatto di $ 2 milioni in Bitcoin in alcuni casi segnalati.
I file crittografati da Mount Locker Ransomware non possono essere forzati
Quando gli esperti di sicurezza informatica hanno esaminato il codice sottostante di Mount Locker Ransomware, hanno scoperto che la minaccia utilizzava una combinazione di algoritmi di crittografia che non potevano essere aggirati senza avere il codice di decrittazione. I dati stessi vengono crittografati con l'algoritmo ChaCha20, una delle varianti successive del cifrario a flusso Salsa20. A sua volta, una chiave pubblica RSA-2048 incorporata viene utilizzata per crittografare la chiave di decrittazione ChaCha20.
Mount Locker Ransomware modifica il nome del file originale di ogni file crittografato aggiungendo " ReadManual " seguito da una stringa di caratteri che rappresenta l'ID univoco assegnato alla vittima. La richiesta di riscatto con le istruzioni viene rilasciata come file denominato " RecoveryManual.html. Il Mount Locker Ransomware manomette il registro per garantire che la richiesta di riscatto venga visualizzata ogni volta che si fa clic su uno dei file crittografati. Il comando che utilizza è:
"HKCU \ Software \ Classes \ .C77BFF8C \ shell \ Open \ command \ @ =" explorer.exe RecoveryManual.html "
Alle vittime di questo ransomware viene chiesto di visitare un sito Web creato dagli hacker dietro Mount Locker che può essere raggiunto solo tramite il browser Tor. Il sito stesso contiene poco più di una funzione di chat. Agli utenti interessati viene offerta la possibilità di decrittografare due o tre file gratuitamente.
Il testo completo della richiesta di riscatto è:
'Your ClientId:
-
/! \ LA RETE DELLA TUA AZIENDA È STATA VIOLATA /! \
Tutti i tuoi file importanti sono stati crittografati e copiati sui nostri server privati!
QUALSIASI TENTATIVO DI RIPRISTINARE I VOSTRI FILE CON SOFTWARE DI TERZI LO DANNEGGERÀ PERMANENTEMENTE.
NON MODIFICARE I FILE CRITTOGRAFATI.
NON RINOMINARE I FILE CRITTOGRAFATI.
Ma stai calmo! C'è una soluzione per il tuo problema!
Per una ricompensa in denaro possiamo decrittografare tutti i tuoi file crittografati.
Inoltre elimineremo tutti i tuoi dati privati dai nostri server.
Per dimostrare che siamo in grado di decrittografare i tuoi file, ti diamo la possibilità di decrittografare 2-3 file gratuitamente.
Allora qual è il tuo prossimo passo? Contattaci! Contattaci per il prezzo e ottieni il software di decrittazione.
-
* Nota che devi installare Tor Browser per aprire questo tipo di collegamenti.
Segui le istruzioni per installare / eseguire Tor Browser:
1. Vai a Tor Project usando il tuo browser predefinito.
2. Fare clic su "Scarica Tor Browser", scegliere la versione dipende dal sistema operativo, di solito è Windows. Scaricalo e installalo
3. Dopo l'installazione vedrai una nuova cartella sul tuo desktop: "Tor Browser". Apri questa cartella ed esegui il collegamento "Avvia Tor Browser".
4. Utilizzando Tor Browser vai a
-
5. Copia con attenzione il tuo ID cliente da questo documento e incollalo nella finestra di autorizzazione nella pagina aperta. Fare clic su "OK".
6. Dopodiché vedrai una speciale applicazione web di chat per comunicare con noi.
7. NB! Per favore sii paziente: a volte il nostro team di supporto può essere lontano dalla tastiera ma ti risponderà il prima possibile! Il tempo è denaro! Contattaci al più presto.
Non memorizzeremo la tua chiave di decrittazione per sempre! "
