SchrödingerCat Ransomware fordert BTC-Lösegeld
Bei einer Routineüberprüfung neuer Dateien stieß unser Forschungsteam auf die SchrodingerCat-Ransomware, eine Variante der GlobeImposter-Ransomware-Familie. SchrodingerCat verschlüsselt Daten und verlangt eine Zahlung für die Entschlüsselung.
Beim Testen stellten wir fest, dass diese Ransomware Dateien verschlüsselt und ihren Namen die Erweiterung „.schrodingercat“ anhängt. Beispielsweise würde eine Datei mit dem Namen „1.jpg“ nach der Verschlüsselung zu „1.jpg.schrodingercat“ werden und so weiter.
Nach der Verschlüsselung generiert SchrodingerCat eine Lösegeldforderung mit dem Namen „how_to_back_files.html“, die darauf hinweist, dass es sich eher an Organisationen als an einzelne Benutzer richtet. Die Forderung behauptet, dass das Unternehmensnetzwerk des Opfers kompromittiert wurde, was zur Verschlüsselung der gespeicherten Dateien führte.
Um wieder Zugriff auf die verschlüsselten Daten zu erhalten, muss das Opfer einen Entschlüsseler kaufen, der 0,15 BTC kostet, was zum Zeitpunkt des Schreibens etwa zehntausend USD entspricht. Der Hinweis rät davon ab, Mittelsmänner einzuschalten, und empfiehlt direkte Verhandlungen mit den Angreifern.
Bei einer Weigerung, das Lösegeld zu zahlen, besteht die Gefahr, dass die Cyberkriminellen vertrauliche Daten, die sie aus dem Netzwerk gestohlen haben, versteigern oder weitergeben. Darüber hinaus könnten die Kriminellen Kontakt zu den Kunden des Opfers aufnehmen und ihnen anbieten, die kompromittierten Informationen zu verkaufen.
Die Autoren von SchrodingerCat betrachten sich als Unternehmen
Der vollständige Text der SchrodingerCat-Lösegeldforderung enthält viel Text und die Hacker bezeichnen sich selbst als „Nacugunder Corporation“. Der vollständige Text lautet wie folgt:
YOUR PERSONAL ID
ENGLISH
YOUR CORPORATE NETWORK LOCKED!ALL YOUR IMPORTANT DATA HAS BEEN ENCRYPTED.
TO RESTORE FILES YOU WILL NEED A DECRYPTOR!
To get the decryptor you should:
Pay for decrypt your network - 0.15 BTCBuy BTC on one of these sites
hxxps://binance.com
hxxps://www.coinbase.com
Any site you trustBitcoin Wallet: 3Pvn*MLA5
Our contacts:
email: yourdatahelp@seznam.czToxID: CA04B61C320C50D12A2C1B95B5062474B5C00B995B588D0B3781DC052CBF9A354CD10F96C84D
You can download TOXChat here : hxxps://tox.chat/download.html
The message must contain your Personal ID! it is at top of this document.
HOW IT WORKS.
If you need a decrypter or return information, please contact us directly ! The guarantee of successful deals is only a direct contact! Don't shy… It's just business for us and we are always ready for polite and mutually beneficial communication.
What's problem with intermediaries?!
Very often intermediaries take money for themselves, it looks something like this: You turn to an intermediary for help, who promises you huge discounts and professional solutions to problems. Afterwards, intermediary contacts us to conduct a decrypt test, receives decrypted files, and then asks you to transfer money to a wallet not related to us. Having received money, intermediary assures client in every possible way that he did not receive decrypter or simply disappears with money. REMEMBER! - We only have wallet that is indicated in this html (first and last 4 characters) When transferring money to any other wallet, you are not transferring it to us.
deception using various Universal Decryptors for 30% of cost or at a fixed price has become very common. With beautiful pictures or enticing videos on YouTube, where they will show you how it works "Universal Software" - which in reality does not work, but is a Trojan for stealing bitcoin or another cryptolocker, before installing something like that - test it on an isolated network computer and you can see that it is useless. Globeimposter 2.0 namely, this is what you see on your network 🙂 can't be deciphered by anything! Besides original key… only one who created Build has key!- this is us. Contact real professionals like - hxxps://www.bleepingcomputer.com/forums/, or any large anti-virus companies - - they can tell you all horror of situation.
Considering above, we reserve right to request KYC confirmation. For example, send us a message from your corporate email on behalf of Company Director or IT department. We know their original emails - since we carefully study network before work 🙂 By contacting directly, you can count on a friendly conversation, a business-like approach… and possibly a good discount (discount depends on many circumstances, size of company,size of ransom, our checks of your accounting, phase of the Moon, etc.)
WHAT HAPPENS IF YOU DON'T PAYIn case of non-payment, we organize an auction on various sites in DarkNet and try to sell files leaked from your network to interested parties.
Next, we use mail + any other contacts of your clients, and notify them of what happened, perhaps they will be interested so that information does not get into public domain and will be ready to buy out information separately.
-If there are no willing to buy, we simply publish everything that we have in the public resources.© 2024 Nacugunder Corporation | All Rights Reserved.
Wie wird Ransomware wie SchrodingerCat verbreitet?
Ransomware wie SchrodingerCat wird typischerweise auf verschiedene Weise verbreitet, darunter:
Phishing-E-Mails: Cyberkriminelle verbreiten Ransomware häufig über Phishing-E-Mails mit schädlichen Anhängen oder Links. Diese E-Mails können legitim erscheinen und Benutzer dazu verleiten, den Anhang zu öffnen oder auf den Link zu klicken, wodurch die Ransomware dann auf dem System des Opfers installiert wird.
Malvertising: Bösartige Werbung (Malvertising) auf Websites kann Benutzer auf Websites umleiten, die Exploit-Kits hosten, die Ransomware verbreiten. Diese Anzeigen können auf legitimen Websites erscheinen und Schwachstellen im Browser oder in Plugins des Benutzers ausnutzen, um die Ransomware unbemerkt zu installieren.
Exploit-Kits: Exploit-Kits sind Pakete mit Schadcode, die Schwachstellen in Software ausnutzen. Cyberkriminelle verwenden Exploit-Kits, um Benutzer zu infizieren, die kompromittierte Websites besuchen. Dabei nutzen sie Schwachstellen in ihren Browsern oder Plugins aus, um Ransomware auf ihren Systemen zu verbreiten und auszuführen.
RDP-Angriffe (Remote Desktop Protocol): Angreifer können schwache oder standardmäßige Anmeldeinformationen für Remote-Desktop-Dienste wie RDP ausnutzen, um sich unbefugten Zugriff auf ein System zu verschaffen. Sobald sie drin sind, können sie Ransomware direkt im Netzwerk des Opfers verteilen.
Drive-by-Downloads: Drive-by-Downloads treten auf, wenn Ransomware beim Besuch einer manipulierten oder bösartigen Website automatisch heruntergeladen und ohne deren Zustimmung auf dem System eines Benutzers installiert wird. Dabei werden häufig Schwachstellen im Browser oder in den Plugins des Benutzers ausgenutzt.
Infizierte Software oder Dateien: Cyberkriminelle können Ransomware verbreiten, indem sie sie als legitime Software oder Dateien tarnen, die aus dem Internet heruntergeladen werden können. Ahnungslose Benutzer laden diese Dateien herunter, führen sie aus und installieren so versehentlich die Ransomware auf ihren Systemen.
USB und Wechselmedien: Ransomware kann sich über infizierte USB-Laufwerke oder andere Wechselmedien verbreiten. Wenn Benutzer ein infiziertes USB-Laufwerk an ihren Computer anschließen, wird die Ransomware möglicherweise automatisch ausgeführt und das System infiziert.
Um sich vor Ransomware-Angriffen zu schützen, sollten Benutzer eine gute Cybersicherheitshygiene praktizieren, einschließlich der regelmäßigen Aktualisierung der Software, der Verwendung seriöser Antivirensoftware, der Vorsicht bei E-Mail-Anhängen und Links sowie der regelmäßigen Sicherung wichtiger Daten.
