Dominus Ransomware

Het beschermen van computers en mobiele apparaten tegen malware is essentieel geworden in een tijdperk waarin cybercriminelen zich steeds vaker richten op persoonlijke bestanden, bedrijfsgegevens en gevoelige informatie. Een enkele infectie kan de dagelijkse werkzaamheden verstoren, financiële verliezen veroorzaken en privé-informatie blootleggen. Een dreiging die deze risico's illustreert, is Dominus Ransomware, een malwarevariant die bestanden versleutelt en is ontworpen om slachtoffers af te persen door middel van angst, urgentie en het blootleggen van gegevens.

Een nadere blik op Dominus-ransomware

Dominus is een ransomwarefamilie die door beveiligingsonderzoekers wordt beschouwd als een ernstige afpersingsdreiging. Het primaire doel is om bestanden op een geïnfecteerde computer te versleutelen en het slachtoffer onder druk te zetten om te betalen voor een decryptietool. Naast het versleutelen van bestanden beweert Dominus ook vertrouwelijke informatie te stelen voordat de versleuteling begint. Deze tactiek is bedoeld om de druk op te voeren door te dreigen met openbaarmaking of verkoop van de gestolen gegevens aan derden.

Na uitvoering richt Dominus zich op meerdere bestandstypen en voegt een aangepaste extensie toe, zoals '.dominus27', aan de getroffen bestanden. Varianten kunnen verschillende cijfers gebruiken, maar het naamgevingspatroon blijft vergelijkbaar. Een bestand dat oorspronkelijk '1.png' heette, kan bijvoorbeeld '1.png.dominus27' worden, terwijl '2.pdf' kan worden hernoemd naar '2.pdf.dominus27'. Zodra de versleuteling is voltooid, plaatst de malware een HTML-losgeldbericht met de naam 'RANSOM_NOTE.html'.

De afpersingsstrategie achter de aanval

Het losgeldbericht opent in een webbrowser en informeert slachtoffers dat hun bestanden zijn versleuteld. Er staat ook in dat er zogenaamd zeer gevoelige persoonlijke gegevens zijn verzameld en opgeslagen op een privéserver. Volgens de aanvallers zullen de bestanden worden hersteld en de gestolen gegevens worden vernietigd als het slachtoffer betaalt. Als het slachtoffer weigert, dreigen de criminelen de informatie openbaar te maken of te verkopen.

Slachtoffers worden geïnstrueerd om contact op te nemen met de aanvallers via de e-mailadressen 'stevensfalls@outlook.com' of 'richardfeuell@outlook.com'. In het bericht wordt zelfs aangeraden om een ProtonMail-account aan te maken voordat contact wordt opgenomen. Om geloofwaardig over te komen, bieden de daders aan om twee of drie onbelangrijke bestanden gratis te decoderen. Een waarschuwing met een afteltimer meldt dat het losgeld zal stijgen als er binnen 72 uur geen contact wordt opgenomen.

Dit model staat bekend als dubbele afpersing. Het slachtoffer wordt geconfronteerd met twee gelijktijdige bedreigingen: verlies van toegang tot bestanden en openbaarmaking van privégegevens. Zelfs als er back-ups bestaan, kan de angst voor reputatieschade of het lekken van gegevens worden gebruikt om betaling af te dwingen.

Waarom het betalen van losgeld riskant is

Het betalen van cybercriminelen biedt geen garantie voor herstel. Aanvallers verdwijnen vaak nadat ze het geld hebben ontvangen, eisen extra betalingen of leveren tools die de bestanden niet goed kunnen decoderen. Bij ransomware-aanvallen bestaat er geen betrouwbaar handhavingsmechanisme, contract of klantenservicesysteem.

Betaling helpt ook bij het financieren van toekomstige aanvallen, waardoor cybercriminelen hun infrastructuur kunnen verbeteren, partners kunnen werven en meer slachtoffers kunnen maken. Om deze redenen adviseren beveiligingsprofessionals over het algemeen om zich te richten op het indammen van de aanval, forensisch onderzoek, herstel vanuit schone back-ups en juridische procedures of procedures voor incidentafhandeling, in plaats van de aanvallers te belonen.

Hoe Dominus doorgaans slachtoffers bereikt

Net als veel andere ransomwarevarianten maakt Dominus vaak gebruik van social engineering en onveilige softwarebronnen om toegang te verkrijgen. Veelvoorkomende infectieroutes zijn onder andere:

• Kwaadwillige e-mailbijlagen of -links vermomd als facturen, verzendberichten, accountwaarschuwingen of gewone correspondentie.
• Trojaanse paarden, illegale software, nepupdates, schadelijke advertenties, peer-to-peer downloads en bestanden van onofficiële hostingwebsites.

Sommige campagnes kunnen gebruikers ook misleiden door middel van bedrieglijke advertenties die downloads activeren met minimale of geen interactie.

Beste beveiligingspraktijken om de bescherming tegen malware te versterken.

Een goede cybersecurity is nog steeds de meest effectieve verdediging tegen ransomware. Apparaten moeten altijd betrouwbare beveiligingssoftware met realtime bescherming gebruiken en besturingssystemen moeten regelmatig worden bijgewerkt om bekende kwetsbaarheden te dichten. Verouderde software is een van de gemakkelijkste toegangspunten voor aanvallers.

Regelmatige back-ups zijn net zo belangrijk. Kopieën van cruciale bestanden moeten offline of in beveiligde cloudomgevingen worden opgeslagen, zodat ze niet direct kunnen worden gewijzigd door malware die op het primaire apparaat actief is. Door back-ups periodiek te testen, zorgt u ervoor dat herstel in geval van nood gegarandeerd is.

Voorzichtigheid is geboden bij e-mails. Onverwachte bijlagen, dringende betalingsverzoeken, berichten over het opnieuw instellen van wachtwoorden en verdachte links moeten met de nodige voorzichtigheid worden behandeld, vooral wanneer ze druk uitoefenen of onmiddellijke actie vereisen. Het verifiëren van de afzender via een apart communicatiekanaal kan een beveiligingslek voorkomen.

Sterke wachtwoorden en multifactorauthenticatie helpen ongeautoriseerde toegang te beperken. Beheerdersrechten moeten worden beperkt, zodat accounts die dagelijks worden gebruikt geen onbeperkte systeemwijzigingen kunnen aanbrengen. Netwerksegmentatie in bedrijfsomgevingen kan ook voorkomen dat ransomware zich over meerdere machines verspreidt.

Tot slot moet software alleen gedownload worden van officiële leveranciers en vertrouwde marktplaatsen. Gepiratiseerde programma's, activeringscodes en nep-installatieprogramma's zijn veelgebruikte methoden om malware te verspreiden. Door deze bronnen te vermijden, verlaag je de blootstelling aan ransomware-dreigingen zoals Dominus aanzienlijk.

Eindbeoordeling

Dominus Ransomware laat zien hoe moderne cybercriminaliteit is geëvolueerd van het simpelweg vergrendelen van bestanden naar psychologische en datagestuurde afpersing. Door bestanden te versleutelen, ze te hernoemen met extensies zoals '.dominus27' en te dreigen gestolen informatie openbaar te maken, proberen de aanvallers de druk op slachtoffers te maximaliseren. De beste reactie blijft preventie: gelaagde beveiligingsmaatregelen, voorzichtig online gedrag, betrouwbare back-ups en een snelle incidentresponsplanning.