Raf Ransomware

Na analyse van de onderliggende code van de Raf Ransomware-dreiging, hebben cybersecurity-onderzoekers vastgesteld dat het een variant is van de Makop Ransomware- familie. Apparaten die met de dreiging zijn geïnfecteerd, worden onderworpen aan gegevenscodering, waardoor een groot deel van de bestanden die erop zijn opgeslagen niet langer toegankelijk of bruikbaar zijn.

Als onderdeel van de invasieve acties die door de dreiging worden uitgevoerd, zullen ook de namen van de vergrendelde bestanden in belangrijke mate worden gewijzigd. Slachtoffers zullen inderdaad merken dat hun bestanden nu een ID-string, een e-mailadres en een nieuwe bestandsextensie hebben toegevoegd aan hun oorspronkelijke naam. Het e-mailadres in kwestie is 'khakuta@msgsafe.io', terwijl de bestandsextensie '.Raf.' Er zal een losgeldbrief op het bureaublad van de gehackte apparaten worden geplaatst in de vorm van een tekstbestand met de naam 'readme-warning.txt'.

Details van losgeldbrief

Het bericht waarin om losgeld wordt gevraagd van de dreiging volgt een Q&A-indeling (vraag en antwoord). Het onthult dat van slachtoffers van Raf Ransomware wordt verwacht dat ze losgeld betalen met behulp van de Bitcoin-cryptocurrency. Getroffen gebruikers mogen ook 2 gecodeerde bestanden verzenden om gratis te worden ontgrendeld. De gekozen bestanden moeten echter aan een aantal eisen voldoen. Ten eerste moeten ze eenvoudige extensies hebben, zoals jpg, xls, doc en dergelijke. Ten tweede mogen ze niet groter zijn dan 1 MB. Om de bestanden te verzenden en aanvullende instructies te ontvangen, hebben de slachtoffers twee e-mailadressen die fungeren als communicatiekanalen - 'khakuta@msgsafe.io' en 'wisetech01@msgsafe.io'.

De volledige losgeldnota van de dreiging is:

'::: Groeten :::

Kleine veelgestelde vragen:
.1.
V: Wat gebeurt er?
A: Uw bestanden zijn versleuteld en hebben nu de extensie "Raf". De bestandsstructuur was niet beschadigd, we hebben er alles aan gedaan zodat dit niet kon gebeuren.

.2.
V: Hoe bestanden te herstellen?
A: Als u uw bestanden wilt decoderen, moet u in bitcoins betalen.

.3.
Vraag: Hoe zit het met garanties?
A: Het is gewoon een bedrijf. Wij geven absoluut niets om u en uw deals, behalve om voordelen. Als we ons werk en onze verplichtingen niet doen, zal niemand met ons samenwerken. Het is niet in ons belang.
Om te controleren of bestanden kunnen worden geretourneerd, kunt u ons 2 bestanden met EENVOUDIGE extensies (jpg,xls,doc, enz.) . Dat is onze garantie.

.4.
Vraag: Hoe contact met u opnemen?
A: U kunt ons schrijven naar onze mailbox: khakuta@msgsafe.io of wisetech01@msgsafe.io

.5.
V: Hoe verloopt het decoderingsproces na betaling?
A: Na betaling sturen wij u ons scanner-decoderprogramma en gedetailleerde gebruiksaanwijzingen. Met dit programma kun je al je versleutelde bestanden ontsleutelen.

.6.
Vraag: Als ik slechte mensen zoals jij niet wil betalen?
A: Als u niet meewerkt aan onze service, maakt dat voor ons niet uit. Maar u verliest uw tijd en gegevens, want alleen wij hebben de privésleutel. In de praktijk is tijd veel waardevoller dan geld.
:::PAS OP:::
Probeer NIET zelf versleutelde bestanden te wijzigen!
Als u software van derden probeert te gebruiken voor het herstellen van uw gegevens of antivirusoplossingen, maak dan een back-up van alle versleutelde bestanden!
Elke wijziging in versleutelde bestanden kan leiden tot beschadiging van de privésleutel en als gevolg daarvan het verlies van alle gegevens.'