Lexus Ransomware

랜섬웨어는 몸값을 지불할 때까지 컴퓨터나 데이터에 대한 액세스를 차단하도록 설계된 위협적인 소프트웨어 유형입니다. 이러한 형태의 사이버 공격에는 종종 피해자의 파일을 암호화하여 액세스할 수 없게 만들고 파일 공개에 대한 대가를 요구하는 일이 포함됩니다.

Lexus 랜섬웨어는 광범위한 파일을 암호화하여 피해자의 데이터를 잠그고 해당 파일을 사용할 수 없게 만들고 액세스할 수 없게 만드는 특정 맬웨어 위협입니다. Lexus 배후의 사이버 범죄자의 주요 목표는 파일을 복원할 수 있는 대가로 몸값을 요구하여 피해자를 강탈하는 것입니다. 암호화 외에도 Lexus는 파일 이름을 바꾸고 'info.txt'와 'info.hta'라는 두 개의 랜섬 노트를 생성합니다. 보안 연구원들은 Lexus 랜섬웨어가 Phobos 랜섬웨어 계열의 변종임을 확인했습니다.

파일 이름을 바꿀 때 Lexus는 피해자의 ID, 이메일 주소 'emily.florez@zohomail.com' 및 파일 이름을 추가합니다. 원본 파일 이름에 대한 'Lexus' 확장자. 예를 들어 '1.doc'는 '1.doc.id[9ECFA74E-3506].[emily.florez@zohomail.com].Lexus'가 되고, '2.pdf'는 '2.pdf.id[9ECFA74E)로 변경됩니다. -3506].[emily.florez@zohomail.com].Lexus'.

Lexus 랜섬웨어는 피해자로부터 몸값을 갈취하려고 합니다.

Lexus 랜섬웨어의 몸값 메모는 피해자에게 데이터가 공격자에 의해 암호화되어 유출되었음을 알립니다. 데이터에 다시 액세스하려면 피해자는 사이버 범죄자가 제공한 특정 암호 해독 소프트웨어를 얻어야 합니다. 이 메모에서는 데이터를 독립적으로 해독하거나 타사 소프트웨어를 사용하려고 하면 영구적인 데이터 손실이 발생할 수 있다고 경고합니다. 또한 해당 메모에는 결제 시 데이터가 삭제되며 판매되거나 악의적으로 사용되지 않을 것이라고 약속합니다.

하지만 해당 메모에는 피해자가 이틀 안에 응답하지 않으면 유출된 데이터를 이해관계자들과 공유하겠다고 위협하기도 했다. 공격자와의 통신 채널로 두 개의 이메일 주소(emily.florez@zohomail.com 및 barbara.li@gmx.com)를 제공하고 암호화된 파일의 이름을 바꾸지 않도록 조언합니다.

Phobos 랜섬웨어 계열은 사이버 범죄자들에 의해 자주 활용됩니다

Phobos 제품군의 랜섬웨어는 로컬 및 네트워크 공유 파일을 모두 암호화하고, 방화벽을 비활성화하고, 섀도우 볼륨 복사본을 삭제하는 것으로 유명합니다. 이러한 변종은 일반적으로 안전하지 않은 RDP(원격 데스크톱 프로토콜) 서비스를 통해 확산됩니다.

감염된 시스템에서 존재를 유지하기 위해 Phobos 랜섬웨어 변종은 자신을 특정 디렉터리에 복제하고 Windows 레지스트리의 지정된 실행 키에 등록합니다. 또한 위치 데이터를 수집하고 암호화 프로세스에서 특정 위치를 제외할 수도 있습니다.

맬웨어 및 랜섬웨어에 대한 포괄적인 보안 접근 방식을 취하세요.

맬웨어 및 랜섬웨어로부터 효과적으로 보호하려면 사용자는 다음 조치를 포함하는 포괄적인 보안 접근 방식을 채택해야 합니다.

정기 백업 :

빈번한 백업: 모든 중요한 데이터를 외부 드라이브나 클라우드 스토리지에 정기적으로 백업합니다. 공격 중에 백업이 손상되지 않도록 백업을 오프라인이나 안전한 원격 위치에 보관하십시오.

복원 테스트: 가능하다면 복원 프로세스를 정기적으로 테스트하여 백업이 올바르게 작동하고 데이터를 복구할 수 있는지 확인하십시오.

최신 소프트웨어 :

운영 체제 업데이트: 운영 체제와 설치된 모든 소프트웨어를 최신 패치로 최신 상태로 유지합니다.

자동 업데이트: 보안 패치를 적시에 적용할 수 있도록 가능한 경우 자동 업데이트를 활성화합니다.

강력한 보안 소프트웨어 :

맬웨어 방지: 위협에 대한 실시간 보호 기능을 제공하는 평판이 좋은 맬웨어 방지 소프트웨어를 설치합니다.

방화벽 보호: 강력한 방화벽을 사용하여 네트워크 및 시스템에 대한 무단 액세스를 차단합니다.

보안 구성 :

RDP 액세스 제한: 필요하지 않은 경우 원격 데스크톱 프로토콜(RDP)을 비활성화하거나 강력한 비밀번호, 다단계 인증(MFA)을 사용하고 가상 사설망(VPN)을 통한 액세스를 제한하여 보안을 유지합니다.

최소 권한 원칙: 사용자 액세스 권한을 해당 역할에 필요한 최소한으로 제한하여 최소 권한 원칙을 실행합니다.

이메일 및 웹 보안 :

이메일 필터링: 이메일 필터링 솔루션을 사용하여 피싱 이메일과 악성 첨부 파일을 차단합니다.

웹 필터링: 웹 필터링을 구현하여 알려진 악성 웹사이트에 대한 액세스를 제한하고 드라이브 바이 다운로드를 방지합니다.

사용자 교육 및 인식 :

교육 프로그램: 정기적인 교육 세션을 실시하여 피싱 시도를 인지하고 안전하지 않은 관행을 피하는 방법을 포함하여 맬웨어 및 랜섬웨어의 위험에 대해 사용자를 교육합니다.

시뮬레이션된 공격 : 시뮬레이션된 피싱 공격을 수행하여 사용자 인식을 테스트하고 개선합니다.

이러한 조치를 포괄적인 보안 전략에 통합함으로써 사용자는 맬웨어 및 랜섬웨어에 대한 방어력을 크게 강화하여 감염 위험을 줄이고 잠재적인 공격의 영향을 줄일 수 있습니다.

Lexus Ransomware가 남긴 랜섬노트 전문은 다음과 같습니다.

'Your data is encrypted and downloaded!

Unlocking your data is possible only with our software.
Important! An attempt to decrypt it yourself or decrypt it with third-party software will result in the loss of your data forever.
Contacting intermediary companies, recovery companies will create the risk of losing your data forever or being deceived by these companies.
Being deceived is your responsibility! Learn the experience on the forums.

Downloaded data of your company.

Data leakage is a serious violation of the law. Don't worry, the incident will remain a secret, the data is protected.
After the transaction is completed, all data downloaded from you will be deleted from our resources. Government agencies, competitors, contractors and local media
not aware of the incident.
Also, we guarantee that your company's personal data will not be sold on DArkWeb resources and will not be used to attack your company, employees
and counterparties in the future.
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Contact us.

Write us to the e-mail:emily.florez@zohomail.com
In case of no answer in 24 hours write us to this e-mail:Barbara.li@gmx.com
Write this ID in the title of your message: -
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Do not rename encrypted files
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'