Ragnarok Ransom Gang sluit winkel, gratis decryptor vrijgegeven
Dezelfde webpagina werd eerder gebruikt door de Ragnarok-cybercriminelen om informatie te publiceren van slachtoffers die weigerden mee te spelen en toe te geven aan de dreiging van dubbele afpersing.
De kleine decryptor-bestandssuite wordt geleverd met zeer eenvoudige instructies op de Ragnarok-bendewebsite. Slachtoffers worden verondersteld hun apparaat-ID in een tekstbestand te plakken en vervolgens twee opeenvolgende uitvoerbare bestanden uit te voeren, één met de naam 'decode_deviceID.exe' en de andere - 'decrypt.exe'.
Volgens rapporten is de decoderingstoolkit van Ragnarok al getest door een aantal verschillende beveiligingsonderzoekers en is bevestigd dat deze werkt zoals bedoeld op bestanden die door Ragnarok/Ragnar Locker ransomware zijn vervormd. Daarnaast wordt de decoderingstoolkit door experts in detail onderzocht en reverse-engineered. Het doel is om een officiële, mogelijk veiligere versie van de decryptor te produceren die officieel kan worden verspreid via het internationale Europol-portaal dat is bedoeld om ransomware te bestrijden en slachtoffers van ransomware wereldwijd te helpen.
De Ragnarok ransomware-bende verscheen in de tweede helft van 2019 op de radar van beveiligingsonderzoekers en werd actiever in 2020. Zoals zoveel andere ransomware-bedreigingsactoren in de afgelopen jaren, begon Ragnarok bestanden te exfiltreren van gecompromitteerde netwerken voordat ze werden versleuteld. Dit is een veelgebruikte dubbele afpersingstactiek geworden, waarbij gevoelige informatie en bestanden online worden gedreigd als er geen losgeld wordt betaald, als een extra aanval naast de codering.
De Ragnarok-ransomware werd gebruikt bij aanvallen waarbij misbruik werd gemaakt van een zero-day-kwetsbaarheid van de firewall en die gericht waren op Citrix ADC-gateways. Het beveiligingslek zat in een Sophos-product en gelukkig zijn de Sophos-teams erin geslaagd om te voorkomen dat de daadwerkelijke encryptielading van de ransomware de systemen van hun klanten vernielde, zelfs als de hackers er aanvankelijk in slaagden om binnen te komen met behulp van de zero-day.
Er lijkt een voortdurende trend te zijn onder ransomware- bedreigingsactoren om zich stilletjes terug te trekken uit het digitale landschap en stilletjes naar de achtergrond te verdwijnen. Alleen al in de zomer van 2021 pakten twee andere ransomware-bendes, bekend onder de aliassen SynAck en Avaddon, ook hun koffers en brachten hun master-decryptietools gratis uit.
Ervan uitgaande dat twee andere grote ransomware-bedreigingsactoren - DarkSide en REvil hebben ook echt hun activiteiten stopgezet en niet stilletjes een nieuwe naam en reorganisatie onder een nieuwe naam. Dit is geweldig nieuws voor iedereen en zou erop kunnen wijzen dat er mogelijk krachten aan het werk zijn, waardoor de juridische greep om de nek van ransomware-bemanningen wordt verstevigd om ze bang te maken om de winkel voorgoed te sluiten.