VASA LOCKER Ransomware
De VASA LOCKER Ransomware is een malwarebedreiging die bedrijven kan verlammen door hun computers op slot te doen. Hoewel het belangrijkste doelwit van de hackers voor de dreiging inderdaad grotere organisaties lijken te zijn, kunnen individuele gebruikers ook geïnfecteerd raken en de toegang verliezen tot bijna al hun persoonlijke of werkgerelateerde bestanden. VASA LOCKER lijkt vrijwel identiek te zijn aan een andere malwarebedreiging genaamd Babuk Locker Ransomware. Beide zijn veel geavanceerder dan de gemiddelde ransomware.
Het versleutelingsproces van de VASA LOCKER Ransomware maakt gebruik van een combinatie van verschillende cijfers en cryptografische algoritmen. Meer specifiek maakt het gebruik van SHA256-hashing, ChaCha8-codering en ECDH-sleuteluitwisseling om de decoderingssleutels te beveiligen. Bij elk vergrendeld bestand wordt '.__ NIST_K571__' toegevoegd aan de oorspronkelijke naam als een nieuwe extensie. Om het coderingsproces te vergemakkelijken en om toegang te krijgen tot bestanden die momenteel geopend zijn op het gecompromitteerde systeem, heeft de VASA LOCKER Ransomware de mogelijkheid om het actieve proces van bepaalde applicaties te beëindigen. Deze omvatten firefox.exe, sql.exe, excel.exe, notepad.exe, outlook.exe, dbsnmp.exe, ocssd.exe en isqlplussvc.exe. De dreiging verwijdert ook de standaard Sadow Volume Copies die door de Windows-service zijn gemaakt, zowel voor als na codering. De vraag om losgeld van de dreiging wordt geleverd als tekstbestanden met de naam 'DECR.TXT' die in elke map met gecodeerde gegevens worden neergezet.
Volgens de instructies exfiltreren de hackers ook gevoelige privé-informatie uit de gecompromitteerde systemen. Ze dreigen de gegevens naar het publiek te lekken als het te lang duurt voordat slachtoffers aan de eisen voldoen. Om communicatie tot stand te brengen, worden gebruikers die door VASA LOCKER getroffen zijn, verteld om een e-mail te sturen naar het opgegeven e-mailadres - 'babukrip@protonmail.ch'. Het bericht moet de ID-string bevatten die in de losgeldbrief staat en er kan ook een enkel bestand aan zijn toegevoegd dat gratis wordt ontsleuteld.
De volledige tekst van de losgeldbrief die door de VASA LOCKER Ransomware is geplaatst, is:
'----------- [ Hallo! ] ------------->
****** DOOR VASA LOCKER ******
Wat is er gebeurd?
----------------------------------------------
Uw computers en servers worden versleuteld, back-ups worden uit uw netwerk verwijderd en gekopieerd. We gebruiken sterke versleutelingsalgoritmen, zodat u uw gegevens niet kunt ontsleutelen.
Maar u kunt alles herstellen door een speciaal programma bij ons aan te schaffen - een universele decoder. Dit programma herstelt je hele netwerk.
Volg onze onderstaande instructies en u zult al uw gegevens herstellen.
Als je dit lange tijd blijft negeren, zullen we de hack aan de reguliere media rapporteren en je gegevens op het dark web plaatsen.
Welke garanties?
----------------------------------------------
We waarderen onze reputatie. Als we ons werk en onze verplichtingen niet doen, zal niemand ons betalen. Dit is niet in ons belang.
Al onze decoderingssoftware is perfect getest en zal uw gegevens decoderen. Ook bij problemen bieden we ondersteuning.
We garanderen dat we één bestand gratis ontsleutelen. Ga naar de site en neem contact met ons op.
Hoe kunt u contact met ons opnemen?
----------------------------------------------
EMAIL gebruiken:
1) Open uw mail
2) Schrijf ons: babukrip@protonmail.ch
UW PERSOONLIJKE ID, BEVESTIG HET:
!!! GEVAAR !!!
WIJZIG of probeer GEEN bestanden zelf TE HERSTELLEN. We kunnen ze NIET HERSTELLEN.
!!! GEVAAR !'
