Mount Locker Ransomware

Een nieuwe ransomwarebedreiging die als wapen wordt ingezet tegen bedrijfsorganisaties, is ontdekt door infosec-onderzoekers. Dit stukje malware, genaamd Mount Locker Ransomware, is uitgerust met verschillende nieuwe trucs als het uiteindelijke doel is om geld van de slachtoffers af te persen.

De Mount Locker Ransomware vraagt miljoenen voor decodering

De hackers achter de Mount Locker Ransowmare richten zich voornamelijk op zakelijke entiteiten. Ze breken het bedrijfsnetwerk van hun slachtoffers en zetten de Mount Locker Ransomware-dreiging in. Eenmaal binnen, gaat de Mount Locker Ransomware verder met het vergrendelen van de bestanden die op de computer zijn opgeslagen, evenals alle aangesloten opslagapparaten met een onkraakbare combinatie van coderingsalgoritmen. Voordien exfiltreert de Mount Locker Ransomware echter grote delen van de gegevens van het slachtoffer en dreigt deze te lekken op een website onder de controle van de cybercriminelen, tenzij aan hun eisen wordt voldaan. In één geval was ongeveer 400 GB aan gegevens verzameld door de Mount Locker Ransomware en vervolgens geüpload naar de datalekwebsite, toen het slachtoffer besloot niet te betalen. Dit is begrijpelijk als je bedenkt dat de hackers in sommige gemelde gevallen een losgeld van $ 2 miljoen in Bitcoin wilden ontvangen .

De bestanden die zijn versleuteld door de Mount Locker Ransomware kunnen niet op brute wijze worden afgedwongen

Toen cybersecurity-experts de onderliggende code van de Mount Locker Ransomware bekeken, ontdekten ze dat de dreiging een combinatie van coderingsalgoritmen gebruikte die niet konden worden omzeild zonder de decoderingscode. De gegevens zelf zijn gecodeerd met het ChaCha20-algoritme, een van de opvolgervarianten van de Salsa20-stroomcijfer. Op zijn beurt wordt een ingebouwde openbare RSA-2048-sleutel gebruikt om de ChaCha20-decoderingssleutel te coderen.

De Mount Locker Ransomware wijzigt de originele bestandsnaam van elk gecodeerd bestand door ' ReadManual ' toe te voegen , gevolgd door een tekenreeks die de unieke ID vertegenwoordigt die aan het slachtoffer is toegewezen. De losgeldbrief met instructies wordt gedropt als een bestand met de naam ' RecoveryManual.html. 'De Mount Locker Ransomware knoeit met het register om ervoor te zorgen dat de losgeldbrief wordt weergegeven telkens wanneer op een van de gecodeerde bestanden wordt geklikt. Het commando dat het gebruikt is:

'HKCU \ Software \ Classes \ .C77BFF8C \ shell \ Open \ command \ @ = "explorer.exe RecoveryManual.html'

Slachtoffers van deze ransomware worden gevraagd om een website te bezoeken die is gemaakt door de hackers achter Mount Locker en die alleen kan worden bereikt via de Tor-browser. De website zelf bevat weinig meer dan een chatfunctie. Getroffen gebruikers krijgen de mogelijkheid om twee of drie bestanden gratis te laten ontsleutelen.

De volledige tekst van de losgeldbrief is:

'Uw ClientId:

-

/! \ HET NETWERK VAN UW BEDRIJF IS GEHACKT /! \

Al uw belangrijke bestanden zijn versleuteld en naar onze privéservers gekopieerd!

ELKE POGING OM UW BESTANDEN TE HERSTELLEN MET SOFTWARE VAN DERDEN, ZAL HET PERMANENT CORRUPEREN.

WIJZIG GEEN GECERTIFICEERDE BESTANDEN.

DE NAAM VAN GECODEERDE BESTANDEN NIET HERNOEMEN.

Maar blijf kalm! Er is een oplossing voor uw probleem!

Voor wat geld kunnen we al uw gecodeerde bestanden decoderen.

Ook zullen we al uw privégegevens van onze servers verwijderen.

Om te bewijzen dat we uw bestanden kunnen decoderen, geven we u de mogelijkheid om 2-3 bestanden gratis te decoderen.

Dus wat is je volgende stap? Neem contact op! Neem contact met ons op voor de prijs en ontvang decoderingssoftware.

-

* Merk op dat u Tor Browser moet hebben geïnstalleerd om dit soort links te openen.

Volg de instructies om Tor Browser te installeren / uit te voeren:

1. Ga naar Tor Project met uw standaardbrowser.

2. Klik op "Tor Browser downloaden", kies de versie afhankelijk van uw besturingssysteem, meestal is dit Windows. Download en installeer het

3. Na installatie ziet u een nieuwe map op uw bureaublad: "Tor Browser". Open deze map en voer de link "Start Tor Browser" uit.

4. Gebruik Tor Browser om naar

-

5. Kopieer zorgvuldig uw client-ID uit dit document en plak het in het autorisatievenster op de geopende pagina. Klik OK'.

6. Daarna ziet u een speciale chat-webapplicatie om met ons te communiceren.

7. NB! Even geduld - soms is ons ondersteuningsteam niet bij het toetsenbord, maar zij zullen u zo snel mogelijk antwoorden! Tijd is geld! Neem dan zo snel mogelijk contact met ons op.

We zullen je decoderingssleutel niet voor altijd bewaren! '