Nomad Ransomware

De Nomad Ransomware is een variant uit de productieve Dharma-malwarefamilie. Als zodanig wijkt het niet af van het typische Dharma-gedrag. Toch zullen alle bestanden die door de dreiging zijn versleuteld ontoegankelijk en onbruikbaar worden gemaakt vanwege de versleuteling met een sterk cryptografisch algoritme. De aanvallers zullen hun slachtoffers vervolgens afpersen voor geld door te beloven hen vervolgens de benodigde decoderingssleutel en softwaretool te sturen.

Telkens wanneer de Nomad Ransomware een bestand versleutelt, zal het de oorspronkelijke naam van dat bestand wijzigen. De dreiging voegt een ID-tekenreeks toe, gevolgd door een e-mailadres en ten slotte een nieuwe bestandsextensie. Het e-mailadres dat wordt gebruikt door de Nomad Ransomware is 'nomad.crypt@onionmail.org', terwijl de extensie '.nomad' is. Er worden dan twee losgeldbriefjes afgeleverd op het gecompromitteerde apparaat - een in een tekstbestand met de naam 'info.txt' en een andere in een pop-upvenster.

Overzicht van losgeldbrief

De twee notities die door de Nomad Ransomware zijn gemaakt, volgen nauw het typische Dharma- model. In het tekstbestand staat eenvoudigweg dat gebruikers contact moeten opnemen met de aanvallers en laat ze twee e-mailadressen achter - 'nomad.crypt@onionmail.org' en 'nomad.crypt@msgsafe.io'. De instructies in het pop-upvenster, hoewel langer, missen ook enige betekenisvolle details. Ze herhalen hetzelfde e-mailadres en waarschuwen de slachtoffers om de versleutelde bestanden niet te hernoemen.

De volledige tekst van de notitie in het pop-upvenster is:

' UW BESTANDEN ZIJN VERSLEUTELD

1024

Maak je geen zorgen, je kunt al je bestanden teruggeven!
Als u ze wilt herstellen, schrijf dan naar de e-mail: nomad.crypt@onionmail.org UW ID -
Als je niet binnen 12 uur per post hebt geantwoord, schrijf ons dan via een andere mail:nomad.crypt@msgsafe.io

AANDACHT!

We raden u aan rechtstreeks contact met ons op te nemen om te voorkomen dat agenten te veel betalen

Hernoem geen versleutelde bestanden.
Probeer uw gegevens niet te decoderen met software van derden, dit kan permanent gegevensverlies veroorzaken.
Het decoderen van uw bestanden met de hulp van derden kan leiden tot een hogere prijs (ze voegen hun vergoeding toe aan onze kosten) of u kunt het slachtoffer worden van oplichterij.

Het tekstbestand bevat het volgende bericht:

al uw gegevens zijn bij ons vergrendeld
Wil je terugkeren?
schrijf e-mail nomad.crypt@onionmail.org of nomad.crypt@msgsafe.io .'