GrafGrafel-ransomware

Onderzoekers hebben een kwaadaardig programma geïdentificeerd dat bekend staat als GrafGrafel. Dit type malware valt in de categorie ransomware, een klasse van bedreigende software die gegevens versleutelt en betaling eist voor de daaropvolgende ontsleuteling. Eenmaal uitgevoerd op het apparaat van een slachtoffer, codeert GrafGrafel talloze bestanden die op het systeem zijn opgeslagen en wijzigt hun bestandsnamen. Aan de originele titels van de bestanden worden een unieke ID toegevoegd die aan het specifieke slachtoffer is toegewezen, het e-mailadres van de cybercriminelen en een '.GrafGrafel'-extensie. Een bestand dat oorspronkelijk '1.doc' heette, zou na codering bijvoorbeeld worden omgezet in '1.doc.id[9ECFA84E-3511].[GrafGrafel@tutanota.com].GrafGrafel'. GrafGrafel is geïdentificeerd als een variant binnen de Phobos Ransomware- familie.

Na voltooiing van het coderingsproces plaatst GrafGrafel de losgeldbriefjes. Eén vorm van melding wordt gepresenteerd als een pop-up gegenereerd op basis van het 'info.hta'-bestand, terwijl tekstbestanden met de naam 'info.txt' in alle mappen met gecodeerde gegevens worden geplaatst, evenals op het bureaublad van het systeem. Uit analyse van de berichten in deze aantekeningen blijkt dat GrafGrafel zich specifiek richt op bedrijven en niet op individuele thuisgebruikers. Bovendien maakt het bedrijf gebruik van dubbele afpersingstactieken, wat wijst op een hoger niveau van verfijning in zijn strategie.

De GrafGrafel Ransomware kan ook gevoelige gegevens van slachtoffers verzamelen

De inhoud die wordt weergegeven in zowel de pop-up- als de tekstbestanden is identiek. Het communiceert dat de bestanden van het slachtoffer zijn gecodeerd, met als extra dreiging dat gevoelige bedrijfsgegevens zijn geëxfiltreerd. De aanvallers eisen losgeld en waarschuwen dat het niet naleven ervan zal resulteren in het lekken van de gestolen informatie en de voortdurende ontoegankelijkheid van de vergrendelde gegevens. Deze opmerkingen schetsen expliciet de risico's die gepaard gaan met potentiële bedrijfsdatalekken. Als het slachtoffer binnen zes uur contact opneemt met de cybercriminelen, wordt het losgeldbedrag met 30% verlaagd.

Voordat het slachtoffer enige betaling doet, wordt het aangeraden het decoderingsproces op een paar kleine bestanden te testen. De berichten waarschuwen voor acties die kunnen leiden tot permanent gegevensverlies, zoals het opnieuw opstarten of afsluiten van het systeem, het wijzigen van getroffen bestanden, het gebruik van decoderingstools van derden of het zoeken naar hulp van herstelbedrijven of autoriteiten.

De GrafGrafel-ransomware versleutelt zowel lokale als op het netwerk gedeelde bestanden, waarbij kritieke systeembestanden onaangetast blijven om ervoor te zorgen dat het geïnfecteerde systeem operationeel blijft. Hoewel de Phobos Ransomware-varianten dubbele encryptie vermijden door bestanden uit te sluiten die al door andere ransomware zijn vergrendeld, verloopt dit proces niet vlekkeloos vanwege een vooraf bepaalde uitzonderingslijst die mogelijk niet alle bekende gegevensversleutelende malware dekt.

Phobos-varianten beëindigen ook processen die verband houden met geopende bestanden (bijvoorbeeld databaseprogramma's, bestandslezers, enz.), waardoor encryptie-uitsluitingen worden voorkomen op grond van het feit dat de bestanden als 'in gebruik' worden beschouwd. Om het herstel nog ingewikkelder te maken, verwijdert GrafGrafel de schaduwvolumekopieën, waardoor de standaard herstelopties worden geëlimineerd. De ransomware zorgt voor persistentie door zichzelf te kopiëren naar het pad %LOCALAPPDATA% en zichzelf te registreren met specifieke Run-sleutels, waardoor automatisch opstarten wordt gegarandeerd wanneer het systeem opnieuw wordt opgestart.

Bovendien kunnen Phobos-aanvallen doelgericht zijn, omdat de malware geolocatiegegevens verzamelt. Deze informatie zou kunnen worden gebruikt om de waarde van uitbreiding van de infectie te beoordelen op basis van factoren zoals geopolitieke overwegingen of de economische kracht van de regio van het slachtoffer.

Zorg ervoor dat u voldoende beveiligingsmaatregelen tegen malwarebedreigingen implementeert

Gebruikers kunnen verschillende beveiligingsmaatregelen op hun apparaten implementeren om zich te beschermen tegen malware-aanvallen. Hier zijn de belangrijkste aanbevelingen:

• Gebruik antimalwaresoftware :
• Installeer professionele beveiligingssoftware en houd deze up-to-date. Plan regelmatig scans om malware te detecteren en te verwijderen.
• Houd besturingssystemen bijgewerkt :
• Zorg ervoor dat het besturingssysteem (OS) en alle softwareapplicaties zijn bijgewerkt met de nieuwste beschikbare beveiligingspatches. Schakel indien mogelijk automatische updates in.
• Firewalls inschakelen :
• Activeer firewalls op zowel apparaat- als netwerkniveau. Firewalls zijn nuttig bij het monitoren en controleren van inkomend en uitgaand netwerkverkeer en bieden zo een extra verdedigingslaag.
• Wees voorzichtig met e-mailbijlagen en links :
• Wees voorzichtig bij het verwerken van e-mailbijlagen of het klikken op links, vooral als de afzender onbekend is. Gebruik e-mailfiltertools om potentieel schadelijke e-mails te identificeren en eruit te filteren.
• Gebruik sterke, unieke wachtwoorden :
• Maak altijd sterke en unieke wachtwoorden voor alle accounts. Zorg er tegelijkertijd voor dat u niet hetzelfde wachtwoord voor meerdere accounts gebruikt.
• Maak regelmatig een back-up van gegevens :
• Maak regelmatig een back-up van belangrijke gegevens op een extern apparaat of een veilige cloudservice. In het geval van een malware-aanval kan het hebben van up-to-date back-ups helpen bij het herstellen van verloren of gecodeerde bestanden.
• Blijf geïnformeerd :
• Blijf op de hoogte van de nieuwste malwarebedreigingen en best practices op het gebied van beveiliging. Controleer regelmatig op updates van beveiligingsbronnen en houd rekening met veelgebruikte tactieken van cybercriminelen.
• Veilige Wi-Fi-netwerken :
• Gebruik sterke codering (bijvoorbeeld WPA3) op Wi-Fi-thuisnetwerken. Wijzig de standaardrouterwachtwoorden en werk deze regelmatig bij. Vermijd het gebruik van openbare wifi voor gevoelige activiteiten.

Door deze beveiligingsmaatregelen te combineren, kunnen gebruikers hun bescherming tegen malware en andere cyberdreigingen aanzienlijk verbeteren. Bovendien zijn het cultiveren van een veiligheidsbewuste mentaliteit en waakzaam blijven essentiële aspecten van het behouden van een veilige digitale omgeving.

De volledige tekst van het losgeldbriefje dat aan de slachtoffers van de GrafGrafel Ransomware wordt gepresenteerd, is:

'!!! ATTENTION !!!

Your network is hacked and files are encrypted.
Including the encrypted data we also downloaded other confidential information: data of your employees, customers, partners, as well as accounting and other internal documentation of your company.

About Data
All data is stored until you will pay.
After payment we will provide you the programs for decryption and we will delete your data
We dont want did something bad to your company, it is just bussines (Our reputation is our money!)
If you refuse to negotiate with us (for any reason) all your data will be put up for sale.

Waar u mee te maken krijgt als uw gegevens op de zwarte markt terechtkomen:
De persoonlijke gegevens van uw medewerkers en klanten kunnen worden gebruikt voor het verkrijgen van een lening of aankopen in online winkels.
U kunt door klanten van uw bedrijf worden aangeklaagd wegens het lekken van vertrouwelijke informatie.
Nadat andere hackers persoonlijke gegevens over uw werknemers hebben verkregen, wordt social engineering op uw bedrijf toegepast en zullen de daaropvolgende aanvallen alleen maar heviger worden.
Bankgegevens en paspoorten kunnen worden gebruikt om bankrekeningen en online portemonnees aan te maken waarmee crimineel geld kan worden witgewassen.
Je zult de reputatie voor altijd verliezen.
U zult worden onderworpen aan enorme boetes van de overheid.
Meer informatie over aansprakelijkheid voor gegevensverlies vindt u hier: hxxps://en.wikipedia.org/wiki/General_Data_Protection_Regulation of hier hxxps://gdpr-info.eu
Rechtbanken, boetes en het onvermogen om belangrijke bestanden te gebruiken zullen tot enorme verliezen leiden. De gevolgen hiervan zijn voor u onomkeerbaar.
Contact opnemen met de politie zal u niet van deze gevolgen redden, en verloren gegevens zullen uw situatie alleen maar verergeren.

Hoe u contact met ons kunt opnemen
Schrijf ons naar de e-mails: GrafGrafel@tutanota.com
U kunt per telegram contact opnemen met onze online operator: @GROUNDINGCONDUCTOR (WEES VOORZICHTIG MET FAKE)
Download de (sessie) messenger hxxps://getsession.org in messenger:ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Schrijf deze ID in de titel van uw bericht -
ALS U BINNEN DE EERSTE 6 uur CONTACT MET ONS NEEMT, en wij onze deal binnen 24 uur sluiten, ZAL DE PRIJS SLECHTS 30% ZIJN.
(Tijd is geld voor ons allebei, als u op onze tijd let, zullen wij hetzelfde doen, wij zorgen voor de prijs en het decoderingsproces zal ZEER SNEL worden uitgevoerd)
ALLE GEDOWNLOADE GEGEVENS WORDEN NA betaling VERWIJDERD.

Wat niet te doen en aanbeveling
U kunt met minimale verliezen uit deze situatie komen (onze reputatie is ons geld!) !!! Om dit te doen, moet u de volgende regels strikt in acht nemen:
NIET wijzigen, NIET hernoemen, NIET kopiëren, GEEN bestanden verplaatsen. Dergelijke acties kunnen ze BESCHADIGEN en decodering zal onmogelijk zijn.
Gebruik GEEN decoderingssoftware van derden of openbare software, deze kan ook bestanden BESCHADIGEN.
Sluit het systeem NIET af of start het opnieuw op. Dit kan bestanden beschadigen.
Huur GEEN onderhandelaars van derden in (herstel/politie, enz.). U moet zo snel mogelijk contact met ons opnemen en de onderhandelingen starten.
U kunt ons 1-2 kleine gegevens, geen waardebestanden, sturen om te testen. Wij zullen deze decoderen en naar u terugsturen.
Na betaling hebben wij maximaal 2 uur nodig om al uw gegevens te ontsleutelen. Wij zullen u ondersteunen totdat de volledige decodering is voltooid! ! ! (Onze reputatie is ons geld!)

Instructies om contact op te nemen met ons team:
Download de (Sessie) messenger (hxxps://getsession.org) in messenger:ID"05bc5e20c9c6fbfd9a58bfa222cecd4bbf9b5cf4e1ecde84a0b8b3de23ce8e144e"
Telrgram: @GROUNDINGCONDUCTOR (WEES VOORZICHTIG MET NEP)
MAIL:GrafGrafel@tutanota.com'