Cerber Ransomware

De Cerber Ransomware is een ransomware-infectie die wordt gebruikt om de bestanden van de slachtoffers te versleutelen. De Cerber Ransomware voegt de extensie CERBER toe aan elk bestand dat de Cerber Ransomware versleutelt. Nadat de Cerber Ransomware enkele van de bestanden van het slachtoffer heeft versleuteld, eist de Cerber Ransomware de betaling van losgeld in ruil voor de decoderingssleutel. Volgens de losgeldnota van Cerber Ransomware hebben computergebruikers een week de tijd om het losgeld te betalen voordat dit bedrag wordt verdubbeld.

De Cerber Ransomware bevat een audiobericht

Aangezien de Cerber Ransomware de bestanden van het slachtoffer versleutelt, creëert het TXT-, HTML- en VBS-bestanden met de naam 'DECRYPT MY FILES' met instructies voor het betalen van het losgeld van de Cerber Ransomware. Deze bestanden worden neergezet op elke map die bestanden bevat die zijn gecodeerd door Cerber Ransomware. Volgens deze losgeldnotities is de enige manier om de bestanden te decoderen het gebruik van de 'Cerber Decryptor', die wordt verstrekt door de mensen die verantwoordelijk zijn voor de Cerber Ransomware. Het VBS-bestand bevat een audiobericht met dezelfde informatie. Volgens de Cerber Ransomware-aanval moeten slachtoffers 1,24 BitCoin betalen om toegang te krijgen tot het decoderingsprogramma (in 2016 ligt dit gemiddeld tussen $ 500 en $ 800 USD). Na een week wordt het bedrag verdubbeld. De Cerber Ransomware eist dat de betaling wordt gedaan via TOR .

De Cerber Ransomware lijkt sterk op andere ransomware-trojans, waaronder CryptoWall en TeslaCrypt . Deze aanvallen zijn vrijwel identiek, verschillen alleen in kleine details, en het is zeer waarschijnlijk dat ze grote delen van hun code delen. Computergebruikers moeten het betalen van het Cerber Ransomware-losgeld om twee redenen vermijden: ten eerste hebben computergebruikers geen garantie dat de oplichters die verantwoordelijk zijn voor de Cerber Ransomware-aanval hun deel van de afspraak zullen nakomen en de decryptor zullen leveren nadat de betaling is uitgevoerd. Ten tweede stelt het betalen van het Cerber Ransomware-losgeld deze fraudeurs in staat om deze aanvallen te blijven uitvoeren en de ontwikkeling van nieuwe ransomware te financieren.

Het basiskenmerk van Cerber is het gebruik van AES-256-codering om de bestanden van de slachtoffers te versleutelen. De ransomware voegt een aantal verschillende extensies toe aan de versleutelde bestanden, waaronder .cerber, .cerber2, .cerber3, .beef, .af47, .ba99. De losgeldnota's die in verschillende versies worden gebruikt, hebben ook verschillende namen: # DECRYPT MY FILES # .txt, # HELP DECRYPT # .html en _R_E_A_D ___ T_H_I_S ___ [random] _. Txt, om er maar een paar te noemen.

De infectievectoren die in verschillende Cerber-campagnes worden gebruikt, zijn min of meer standaardtarief - spam-e-mailcampagnes met kwaadaardige bijlagen, variërend van kantoorbestanden tot JavaScript-brokken, exploitkits die de payload leveren, evenals kwaadaardige sites die code bevatten die de ransomware downloadt. Een ander merkwaardig kenmerk van de ransomware is dat het een systeemcontrole uitvoert en gebruikers vermijdt die zich in voormalige Sovjetrepublieken bevinden, waaronder Armenië, Georgië, Wit-Rusland, Moldavië, Rusland zelf en Oekraïne. Dit alleen al zou een indicatie kunnen zijn van de oorsprong van de dreiging.

Uitvoering en gedrag

Zodra het is uitgevoerd, plaatst Cerber een willekeurig genoemde kopie van zichzelf in een map met een unieke naam in% AppData%. Samen met dit zorgt het ook voor een vorm van persistentie, door een snelkoppeling te maken naar het uitvoerbare bestand onder% APPDATA% \ Microsoft \ Windows \ Startmenu \ Programma's \ Opstarten. De ransomware bewerkt ook het register van het systeem en creëert twee nieuwe vermeldingen onder HKEY_CURRENT_USER \ Printers \ Defaults \. De items worden Component_00 en Component_01 genoemd en bevatten binaire gegevens. Er zijn extra registersleutels toegevoegd om persistentie op verschillende autorunlocaties van het register te garanderen.

Wanneer het de bestanden van het slachtoffer versleutelt, heeft Cerber geen live verbinding nodig met zijn command and control (C & C) -server, wat betekent dat het loskoppelen van je ethernetkabel geen zin heeft. De codering voegt niet alleen een nieuwe extensie toe, zoals gebruikelijk is bij ransomware, het verandert ook de originele bestandsnaam, waardoor alle gecodeerde bestanden volledig onherkenbaar worden. De meest gebruikte extensie die door de ransomware wordt toegevoegd, is .cerber, waarbij sommige versies .cerber2 en .cerber3 gebruiken, evenals ongebruikelijke zoals .ba99 en .beef.

PC-beveiligingsonderzoekers hebben vastgesteld dat de Cerber Ransomware bestanden met de volgende extensies target en versleutelt:

.gif, .groups, .hdd, .hpp, .log, .m2ts, .m4p, .mkv, .mpeg, .ndf, .nvram, .ogg, .ost, .pab, .pdb, .pif, .png , .qed, .qcow, .qcow2, .rvt, .st7, .stm, .vbox, .vdi, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .3fr, .3pr,. ab4, .accde, .accdr, .accdt, .ach, .acr, .adb, .advertisements, .agdl, .ait, .apj, .asm, .awg, .back, .backup, .backupdb, .bay, .bdb, .bgt, .bik, .bpw, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .ce1, .ce2, .cib, .craw, .crw, .csh, .csl, .db_journal , .dc2, .dcs, .ddoc, .ddrw, .der, .des, .dgc, .djvu, .dng, .drf, .dxg, .eml, .erbsql, .erf, .exf, .ffd,. fh, .fhd, .grijs, .grijs, .gry, .hbk, .ibd, .ibz, .iiq, .incpas, .jpe, .kc2, .kdbx, .kdc, .kpdx, .lua, .mdc, .mef, .mfw, .mmw, .mny, .mrw, .myd, .ndd, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nwb, .nx2, .nxl , .nyf, .odb, .odf, .odg, .odm, .orf, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pdd, .pem,. plus_muhd, .plc, .pot, .pptx, .psafe3, .py, .qba, .qbr, .qbw, .qbx, .qby, .raf, .rat, .raw, .rdb, .rwl, .rwz, .s3db, .sd0, .sda, .sdf, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srw, .st5, .st8, .std, .sti, .stw, .stx, .sxd, .sxg, .sxi, .sxm, .tex , .wallet, .wb2, .wpd, .x11, .x3f, .xis, .ycbcra, .yuv, .contact, .dbx, .doc, .docx, .jnt, .jpg, .msg, .oab,. ods, .pdf, .pps, .ppsm, .ppt, .pptm, .prf, .pst, .rar, .rtf, .txt, .wab, .xls, .xlsx, .xml, .zip, .1cd, .3ds, .3g2, .3gp, .7z, .7zip, .accdb, .aoi, .asf, .asp, .aspx, .asx, .avi, .bak, .cer, .cfg, .class, .config , .css, .csv, .db, .dds, .dwg, .dxf, .flf, .flv, .html, .idx, .js, .key, .kwm, .laccdb, .ldf, .lit,. m3u, .mbx, .md, .mdf, .mid, .mlb, .mov, .mp3, .mp4, .mpg, .obj, .odt, .pages, .php, .psd, .pwm, .rm, .safe, .sav, .save, .sql, .srt, .swf, .thm, .vob, .wav, .wma, .wmv, .xlsb, 3dm, .aac, .ai, .arw, .c, .cdr, .cls, .cpi, .cpp, .cs, .db3, .docm, .dot, .dotm, .dotx, .drw, .dxb, .eps, .fla, .flac, .fxg, .java , .m, .m4v, .max, .mdb, .pcd, .pct, .pl, .potm, .potx, .ppam, .ppsm, .ppsx, .pptm, .ps, .r3d, .rw2,. sldm, .sldx, .svg, .tga, .wps, .xla, .xlam, .xlm, .xlr, .x lsm, .xlt, .xltm, .xltx, .xlw, .act, .adp, .al, .bkp, .blend, .cdf, .cdx, .cgm, .cr2, .crt, .dac, .dbf, .dcr, .ddd, .design, .dtd, .fdb, .fff, .fpx, .h, .iif, .indd, .jpeg, .mos, .nd, .nsd, .nsf, .nsg, .nsh , .odc, .odp, .oil, .pas, .pat, .pef, .pfx, .ptx, .qbb, .qbm, .sas7bdat, .say, .st4, .st6, .stc, .sxc,. sxw, .tlg, .wad, .xlk, .aiff, .bin, .bmp, .cmt, .dat, .dit, .edb, .flvv

Losgeld brief

Sommige versies van Cerber geven hun losgeldnota weer als een achtergrondafbeelding die de oude vervangt, terwijl andere HTML- en platte tekstbestanden voor de notitie gebruiken. De tekst in alle notities is echter grotendeels hetzelfde:

CERBER RANSOMWARE

Uw documenten, foto's, databases en andere belangrijke bestanden zijn versleuteld!

De enige manier om uw bestanden te decoderen, is door de privésleutel en uw decoderingsprogramma te ontvangen.

Om de privésleutel en het decoderingsprogramma te ontvangen, gaat u naar een gedecodeerde map - daarin zit een speciaal bestand (* README *) met volledige instructies voor het decoderen van uw bestanden.

Volg de onderstaande instructies als u geen (* README *) bestand op uw pc kunt vinden:

[Tor url]

Notitie! Deze pagina is alleen beschikbaar via "Tor Browser".

De losgeldbrief die is gekoppeld aan de Cerber Ransomware zal de volgende informatie bevatten:

Uw documenten, foto's, databases en andere belangrijke bestanden zijn versleuteld!
Volg de instructies om uw bestanden te decoderen:
​
1. Download en installeer de "Tor Browser" vanaf https://www.torproject.org/
2. Voer het uit
3. Open de website van de "Tor Browser": [geredigeerd]
4. Volg de instructies op deze website
​

CERBER DECRYPTOR
Uw documenten, foto's, databases en andere belangrijke bestanden zijn versleuteld!
Om uw bestanden te decoderen, moet u de speciale software kopen -.
Alle transacties mogen alleen via het bitcoin-netwerk worden uitgevoerd.
Binnen 7 dagen kunt u dit product kopen tegen een speciale prijs van 1,24 BTC (ongeveer $ 524).
Na 7 dagen zal de prijs van dit product stijgen tot 2,48 BTC (ongeveer $ 1048).

De HTML-versies van het losgeldbriefje worden geleverd met een fragment in Visual Basic dat het losgeldbriefje voorleest aan het slachtoffer - een interessante bijkomstigheid, ook al is het enigszins zinloos. De Tor-url in de losgeldbrief leidt naar een gepersonaliseerde pagina die in een aantal talen kan worden bekeken, om ervoor te zorgen dat zoveel mogelijk slachtoffers kunnen proberen het losgeld te betalen.

Cerber verhuurd als een service

Cerber veranderde ver in zijn levensduur in ransomware-as-a-service. Het criminele netwerk dat Cerber oorspronkelijk produceerde, begon het te verhuren aan andere cybercriminelen die bereid waren hun winsten te verdelen. Het idee achter dit model is dat alle losgeldbetalingen die worden gedaan door slachtoffers van criminele derden die de malware verspreiden, worden verdeeld tussen hen en de oorspronkelijke auteurs van Cerber. Dit is een zeer winstgevende manier van werken gebleken voor de slechte actoren achter de ransomware, met schattingen dat Cerber elke maand ongeveer $ 200.000 aan Bitcoin verdient. Hierdoor kunnen de auteurs van de ransomware-as-a-service vrijwel niets meer doen terwijl iemand anders de spam-e-mailverspreidingscampagnes voor hen uitvoert.

De Cerber-ransomware heeft een aantal versies doorlopen, waarvan sommige door beveiligingsonderzoekers numerieke omschrijvingen kregen. De laatste die een officieel nummer heeft gekregen, is Cerber 6 - een versie die ergens in 2017 uitkwam. Deze versie beschikte over verbeterde antidetectiemogelijkheden dankzij een nieuw ontwerp met meerdere componenten, waarbij werd gecontroleerd op actieve antimalwaresoftware en of deze al dan niet actief is. een sandbox-VM-omgeving. Cerber 6 werd ook gedistribueerd aangetroffen in zelfuitpakkende uitvoerbare archieven die zowel VB-scripts als een DLL-component bevatten.

In de afgelopen jaren heeft een nieuwe ransomware schade aangericht, Magniber genoemd door beveiligingsonderzoekers. De naam is een mashup van de Magnitude-exploitkit en Cerber, omdat werd aangenomen dat de nieuwe ransomware die door de Magnitude EK werd gedragen, Cerber was. Het bleek echter dat de payload van de Magniber eigenlijk uit een andere familie komt dan die van Cerber en er weinig mee deelt onder de motorkap.

Beveiligingsonderzoekers die met Checkpoint werken, hebben een decoderingstool uitgebracht die voor slechts enkele versies van de ransomware werkt.

Omgaan met de Cerber Ransomware

Als de Cerber Ransomware op uw computer is geïnstalleerd, is de beste oplossing om de gecodeerde bestanden te herstellen vanaf een back-up. Daarom is de beste beschermingsmaatregel tegen de Cerber Ransomware en vergelijkbare versleutelingstrojans om regelmatig een back-up te maken van alle belangrijke gegevens. U moet websites vermijden die mogelijk in verband worden gebracht met twijfelachtige inhoud en een betrouwbaar beveiligingsprogramma gebruiken dat volledig up-to-date is.

SpyHunter detecteert en verwijdert Cerber Ransomware