Pegasus Ransomware codeert systeemschijven van slachtoffers
Ons team kwam Pegasus tegen, een ransomwareprogramma, terwijl we de inzendingen van nieuwe bestandsvoorbeelden doornamen. Toen we een voorbeeld van Pegasus op onze testmachine draaiden, werden de bestanden gecodeerd en hun namen gewijzigd.
De oorspronkelijke bestandsnamen zijn uitgebreid met een willekeurige tekenreeks, bijvoorbeeld: "1.jpg" werd "1.jpg.tBC8M" en "2.png" werd "2.png.qGuj7". Na voltooiing van het coderingsproces werd een losgeldbrief met de naam "Ghost_ReadMe.txt" gedeponeerd.
De losgeldbrief informeert het slachtoffer dat zijn bestanden ontoegankelijk zijn vanwege codering. Het verzekert hen dat ze hun gegevens kunnen ophalen door de decoderingstool van de aanvallers te kopen. Het losgeldbedrag is gespecificeerd als $350 in Bitcoin-cryptocurrency. Bij betaling wordt het slachtoffer geïnstrueerd om bewijs van de transactie te overleggen, waarna hem wordt beloofd de decoderingssleutel te ontvangen.
Pegasus losgeldbrief vraagt $ 350 aan betaling
De volledige tekst van het bestand "Ghost_ReadMe.txt", gegenereerd door de Pegasus-ransomware, luidt als volgt:
Oops, Your Files Have Been Encrypted!
We Have Encrypted Your Data With The Strongest.
You Don't Need to worry.All of your files have been encrypted
Your computer was infected with a ransomware virus. Your files have been encrypted and you won't
be able to decrypt them without our help.What can I do to get my files back? You can buy the decrypter.
it will leave your pc as it was before the encryption.How Can I Decrypt Files?
- You Can Buy Crypto Here: hxxps://www.coinmama.com/
- Send $350 To Bitcoin Wallet address: 16JpyqQJ6z1GbxJNztjUnepXsqee3SBz75
- Send Proof of Transaction to Our Email Address to Get a Decryption Tool and Private Key
- Contact Our email address: ransom.data@gmail.com
Note: Do Not Use Third Party Decryption Tools
Wat zijn de meest voorkomende aanvalsvectoren die door ransomware worden gebruikt?
Ransomware kan systemen infiltreren via verschillende aanvalsvectoren, maar enkele van de meest voorkomende zijn:
Phishing-e-mails: Aanvallers verspreiden ransomware vaak via phishing-e-mails die kwaadaardige bijlagen of links bevatten. Deze e-mails kunnen zich voordoen als legitieme entiteiten of organisaties, waardoor de ontvangers worden verleid om op links te klikken of bijlagen te downloaden die ransomware-payloads bevatten.
Schadelijke websites: Ransomware kan worden verspreid via kwaadaardige websites of gecompromitteerde legitieme websites. Het bezoeken van dergelijke sites of het klikken op kwaadaardige advertenties kan leiden tot het automatisch downloaden en uitvoeren van ransomware op het systeem van het slachtoffer.
Exploitkits: Cybercriminelen misbruiken kwetsbaarheden in software of besturingssystemen met behulp van exploitkits om ransomware te verspreiden. Deze kits richten zich op bekende kwetsbaarheden die nog niet zijn gepatcht, waardoor aanvallers ongeautoriseerde toegang kunnen krijgen tot systemen en ransomware kunnen inzetten.
Remote Desktop Protocol (RDP): Aanvallers kunnen RDP-inloggegevens op brute wijze forceren of zwakke wachtwoorden misbruiken om op afstand ongeoorloofde toegang tot systemen te verkrijgen. Eenmaal binnen kunnen ze ransomware rechtstreeks op de besmette systemen inzetten.
Drive-By-downloads: Ransomware kan worden geleverd via drive-by-downloads, waarbij malware automatisch wordt gedownload en geïnstalleerd op het systeem van het slachtoffer, zonder diens toestemming of medeweten, wanneer hij gecompromitteerde of kwaadaardige websites bezoekt.
Malvertising: Cybercriminelen kunnen ransomware verspreiden via kwaadaardige advertenties (malvertising) die op legitieme websites worden weergegeven. Als u op deze advertenties klikt, kunnen gebruikers worden omgeleid naar websites die ransomware hosten of kunnen er automatische downloads van ransomware-payloads worden gestart.
Remote Code Execution (RCE): Kwetsbaarheden in webapplicaties of serversoftware kunnen worden misbruikt om willekeurige code op afstand uit te voeren. Aanvallers kunnen RCE-kwetsbaarheden gebruiken om ransomware op servers of netwerkapparaten te implementeren.
Netwerken voor het delen van bestanden: Ransomware kan zich verspreiden via peer-to-peer (P2P) netwerken voor het delen van bestanden of gecompromitteerde netwerkshares. Geïnfecteerde bestanden die via deze netwerken worden gedeeld, kunnen leiden tot de verspreiding van ransomware naar andere gebruikers of apparaten die op het netwerk zijn aangesloten.
