Royal Ransomware
Royal Ransomware thuộc một nhóm tội phạm mạng tương đối mới. Ban đầu, các tin tặc sử dụng các công cụ mã hóa của các nhóm tấn công tương tự khác nhưng sau đó đã chuyển sang sử dụng công cụ của chúng. Nhóm nhắm mục tiêu vào các tổ chức doanh nghiệp và yêu cầu trả khoản tiền chuộc từ 250.000 đô la cho đến 2 triệu đô la. Một đặc điểm đáng chú ý của nhóm Royal Ransomware là nó không hoạt động như một RaaS (Ransomware-as-a-Service) và thay vào đó, là một nhóm hoàn toàn riêng tư không có bất kỳ chi nhánh nào.
Chuỗi lây nhiễm cuối cùng kết thúc bằng việc triển khai mối đe dọa Royal Ransomware, bắt đầu bằng các cuộc tấn công lừa đảo có chủ đích. Các tác nhân đe dọa sử dụng những gì được gọi là lừa đảo gọi lại để thỏa hiệp các mục tiêu của họ. Họ bắt đầu bằng cách gửi email thu hút về việc gia hạn đăng ký không có thật cho một dịch vụ giao đồ ăn hợp pháp hoặc sản phẩm phần mềm. Các nạn nhân được cho biết rằng để hủy đăng ký giả định, họ sẽ phải gọi đến một số điện thoại được cung cấp. Các nhà điều hành điện thoại làm việc cho tội phạm mạng và sẽ sử dụng các chiến thuật kỹ thuật xã hội khác nhau để thuyết phục nạn nhân cung cấp cho họ quyền truy cập từ xa vào máy tính. Phần mềm đã cài đặt đóng vai trò là điểm truy cập ban đầu vào mạng nội bộ của công ty.
Khi mối đe dọa Royal Ransomware được triển khai và thực thi trên thiết bị của nạn nhân, nó sẽ mã hóa một phần đáng kể dữ liệu được lưu trữ ở đó. Tất cả các tệp bị khóa sẽ có '.royal' được thêm vào tên ban đầu của chúng. Mối đe dọa có khả năng mã hóa các tệp đĩa ảo (VMDK) được liên kết với các máy ảo. Khi dữ liệu được nhắm mục tiêu đã được xử lý, mối đe dọa ransomware sẽ tiến hành gửi thông báo đòi tiền chuộc của nó. Tin nhắn của tin tặc sẽ bị xóa dưới dạng tệp 'README.TXT' trên các hệ thống bị vi phạm, đồng thời được in ra bởi bất kỳ máy in nào được kết nối với mạng công ty.
Thông báo đòi tiền chuộc nêu rõ rằng nạn nhân phải thiết lập liên hệ với tội phạm mạng bằng cách truy cập trang web chuyên dụng của chúng được lưu trữ trên mạng TOR. Trang web chủ yếu bao gồm một dịch vụ trò chuyện để nói chuyện với các tin tặc. Nạn nhân thường có thể gửi một vài tệp tin để được giải mã miễn phí như một minh chứng. Mặc dù nhóm Royal Ransomware tuyên bố thu thập dữ liệu bí mật từ nạn nhân của chúng trong một âm mưu tống tiền kép, nhưng cho đến nay vẫn chưa phát hiện ra trang web rò rỉ dữ liệu nào.
