LIZARD Ransomware

Analyse van de LIZARD Ransomware toonde aan dat de dreiging vrijwel identiek is aan de LANDSLIDE Ransomware-malware. De belangrijkste aspecten die de LIZARD Ransomware onderscheiden van de LANDSLIDE Ransomware, zijn de twee e-mailadressen die worden gebruikt als communicatiekanaal en de bestandsextensie die aan de namen van alle gecodeerde bestanden wordt toegevoegd.

Gebruikers die zijn geïnfecteerd met de LIZARD Ransomware zullen merken dat bijna al hun bestanden die op de besmette computer zijn opgeslagen, nu drastisch verschillende namen hebben. De ransomware-dreiging gebruikt inderdaad een complex naampatroon voor de bestanden die het beïnvloedt. Eerst plaatst het voor de oorspronkelijke naam een e-mailadres - 'DeathSpicy@yandex.ru', gevolgd door een reeks tekens die de unieke ID vertegenwoordigen die aan het slachtoffer is toegewezen. Tegelijkertijd wordt '.LIZARD' toegevoegd als een nieuwe bestandsextensie. Na voltooiing van het coderingsproces, maakt LIZARD Ransomware twee bestanden aan - '# ReadThis.HTA' en '# ReadThis.TXT', met daarin de tekst van de losgeldbrief van de dreiging.

Slachtoffers van de LIZARD Ransomware wordt verteld dat ze losgeld moeten betalen met Bitcoin om de decoderingstool van de hackers te ontvangen. Het briefje vermeldt niet het exacte bedrag dat door de criminelen wordt geëist. Voordat de betaling wordt uitgevoerd, krijgen getroffen gebruikers de kans om een enkel bestand met een grootte tussen 100 en 200 KB te verzenden om gratis te worden gedecodeerd. Om dit te doen, moeten ze een bericht sturen naar het e-mailadres dat ook in de namen van de gecodeerde bestanden staat. Als 24 passeren zonder antwoord te krijgen, moeten gebruikers overschakelen naar het versturen van een reservemailadres op 'DeathSpicy@tutanota.com'.

De volledige tekst van de notitie van LIZARD Ransomware is:

'Uw SERVER / COMPUTER is door ons gecodeerd! _

Hallo beheerder / gast!

[ENCRYPTER] => Al uw gegevens worden door ons versleuteld ..

[ENCRYPTER] => Uw unieke server-ID: [-]

[ENCRYPTER] => Wilt u uw gegevens decoderen?

[ENCRYPTER] => Om ons te vertrouwen, stuur ons eerst een bestand van 100-200 KB,

we zullen het decoderen om vertrouwen voor u op te bouwen.

[AFTERTRUST] => Wat moet u doen nadat u vertrouwen heeft opgebouwd?

Helpen

(

 Al uw gegevens zijn versleuteld,

 Als uw gegevens belangrijk zijn en u deze wilt ontsleutelen,

 U moet het door ons ingestelde bitcoin-bedrag betalen,

 Stuur eerst een bericht naar onze e-mails, na de prijsstelling, ons en uw vertrouwen,

 Voer een Google-zoekopdracht uit om bitcoins te kopen,

 Bijvoorbeeld: "Koop bitcoins in roebels".

 Nadat u Bitcoin heeft gekocht, moet u

 zet de Bitcoin over naar onze portemonnee,

 Na betaling wordt de decoderingstool naar u verzonden

 samen met hoe u het correct uitvoert

)

ENCRYPTER @ server ~ $ Om contact met ons op te nemen, stuurt u eerst een bericht naar onze eerste e-mail.

[FiRsT E-mail:] DeathSpicy@yandex.ru

ENCRYPTER @ server # Als uw e-mail na 24 uur niet wordt beantwoord, is onze e-mail mogelijk geblokkeerd.

Dus stuur een bericht naar onze tweede e-mail.

[SeCoNd e-mail:] DeathSpicy@tutanota.com

Koning van losgeld

Hagedis liep $ omW4rE. '