MalasLocker Ransomware: So bleiben Sie sicher

MalasLocker ist eine neue Ransomware-Gruppe, die im März 2023 gegründet wurde und auf Schwachstellen auf Zimbra-Servern abzielt. Die Gruppe nutzt Age-Verschlüsselung, eine ungewöhnliche Verschlüsselungstechnik, die von Filippo Valsorda, einem renommierten Kryptographen, entwickelt wurde. Der von MalasLocker hinterlassene Lösegeldschein fordert ein ungewöhnliches Lösegeld: Anstelle einer Geldzahlung werden die Opfer aufgefordert, an eine der zugelassenen gemeinnützigen Wohltätigkeitsorganisationen zu spenden und die Bestätigungs-E-Mail zur Überprüfung an die Angreifer zu senden. Außerdem behauptet das Manifest der Hackergruppe, dass sie keine lateinamerikanischen Länder angreift. Die Gruppe hat eine Liste von 169 Opfern zusammengestellt, die sie als „Säumige“ kategorisiert hat, und droht mit der Weitergabe der Daten, wenn den Forderungen nicht nachgekommen wird. MalasLocker scheint seine Opfer nach dem Zufallsprinzip auszuwählen, und es gibt keine Beweise dafür, dass die Nutzung ihres Entschlüsselungs-„Dienstes“ sicher ist.FAQ: Wenn es sich um einen wohltätigen Zweck handelt, ist es sicher, den Anweisungen im Lösegeldschein zu folgen, um die Daten zu entschlüsseln?Opfer zu zwingen, Geld an gemeinnützige Organisationen zu spenden, mag zwar wie eine wohltätige Robin Hood-artige Vorgehensweise erscheinen, doch die Erfüllung der Forderungen des Bedrohungsakteurs birgt die gleichen Risiken wie jede andere Ransomware: Es gibt keine Garantie für eine erfolgreiche Entschlüsselung oder dafür, dass keine Daten verloren gehen.Obwohl Ransomware-Angriffe immer noch kriminell sind und die Einhaltung ihrer Forderungen ihre Aktivitäten unterstützt, gibt es immer noch potenzielle rechtliche Konsequenzen und ethische Überlegungen.SalvageData-Experten empfehlen proaktive Datensicherheitsmaßnahmen, wie regelmäßige Backups, strenge Cybersicherheitspraktiken und die Aktualisierung der Software, um sich vor Ransomware-Angriffen zu schützen. Und im Falle eines MalasLocker-Ransomware-Angriffs wenden Sie sich umgehend an unsere Ransomware-Recovery-Experten.

Was für eine Malware ist MalasLocker?

Bei MalasLocker handelt es sich um Ransomware, eine Art Malware, die die Dateien der Opfer verschlüsselt und sperrt und anschließend ein Lösegeld im Austausch für den Entschlüsselungsschlüssel verlangt. Die Gruppe verschafft sich Zugang zu Servern, indem sie Phishing-E-Mails mit bösartigen JSP-Dokumenten an die Benutzer von Zimbra sendet. Sobald der Server angegriffen wird, verschlüsselt MalasLocker die Daten mithilfe der AGE-Verschlüsselung. AGE-Verschlüsselung ist ein modernes Dateiverschlüsselungstool, das von Filippo Valsorda, einem renommierten Kryptographen und Go-Sicherheitsleiter bei Google, entwickelt wurde. Insgesamt handelt es sich bei Age Encryption um ein einfaches, modernes und sicheres Tool zur Dateiverschlüsselung, mit dem sensible Daten vor unbefugtem Zugriff geschützt werden können. MalasLocker, das AGE-Verschlüsselung verwendet, ist ungewöhnlich, da Ransomware normalerweise eine Mischung aus symmetrischen und asymmetrischen Verschlüsselungsalgorithmen verwendet.

Alles, was wir über MalasLocker Ransomware wissen

Bestätigter Name

LazyLocker-Virus

Bedrohungstyp

Ransomware
Kryptovirus
Aktenschrank
Doppelte Erpressung

Erweiterung für verschlüsselte Dateien

Keiner. Anstatt eine neue Dateierweiterung für verschlüsselte Dateien hinzuzufügen, fügt die MalasLoker-Ransomware jeder verschlüsselten Datei die Meldung hinzu: „Diese Datei ist verschlüsselt, suchen Sie nach README.txt für Entschlüsselungsanweisungen“.

Lösegeldfordernde Nachricht

README.txt

Gibt es einen kostenlosen Entschlüsseler?Nein, die MalasLocker-Ransomware verfügt nicht über einen EntschlüsselerErkennungsnamen

AvastSonstiges:Malware-Gen [Trj]

DurchschnittlichSonstiges:Malware-Gen [Trj]

EmsisoftTrojan.JSP.Agent.D (B)

KasperskyHEUR:Backdoor.Java.JSP.gen

MicrosoftTrojaner:Java/Malgent!MSR

Ransomware-Familie, Typ und Variante

Lesen Sie auch:DarkRace Ransomware: So bleiben Sie sicher

MalasLocker ist eine Ransomware-Familie

Verteilungsmethoden

Sicherheitslücke in Zimbra-Servern

Phishing-E-Mails

Konsequenzen

Dateien werden bis zur Lösegeldzahlung verschlüsselt und gesperrt
Datenleck

Verschlüsselte Dateien
Verdächtige JSP-Dateien
Ein Lösegeldschein mit dem Namen README.txt auf dem infizierten Computer

So finden Sie den Erpresserbrief MalasLocker

MalasLocker verlangt auf dem Lösegeldschein eine Spende an eine gemeinnützige Wohltätigkeitsorganisation seiner Wahl. Dieses ungewöhnliche Lösegeld brachte den MalasLocker-Schauspielern den Spitznamen „Robin Hood“ ein. Opfer von MalasLocker sollten jedoch nicht auf ihre vorgetäuschte Wohltätigkeit hereinfallen, da es keine Beweise dafür gibt, dass sie das Lösegeld tatsächlich gespendet haben. Eine Spende an die von der MalasLocker-Ransomware geforderten gemeinnützigen Wohltätigkeitsorganisationen birgt bestimmte Risiken, darunter mangelnde Garantie, Unterstützung krimineller Aktivitäten, potenzielle rechtliche Konsequenzen, Datenlecks und ethische Erwägungen. Der Lösegeldschein enthält die E-Mail-Adresse des Angreifers oder einen TOR-Site-Link mit der aktuellsten E-Mail-Adresse, um die Angreifer zu kontaktieren. Es wird auch damit gedroht, die Daten preiszugeben, wenn die Forderungen nicht erfüllt werden. Dies ist ein Beispiel der MalasLocker-Lösegeldforderung:

Wie infiziert MalasLocker ein System?

Die MalasLocker-Ransomware infiziert ein System, indem sie in Zimbra-Server eindringt. Opfer haben berichtet, dass sie auf infizierten Servern verdächtige JSP-Dateien gefunden haben. Es wird angenommen, dass MalasLocker Zimbra-Server durch Phishing-E-Mails angreift, in denen schädliche JSP-Dokumente an die Benutzer von Zimbra gesendet werden.

Wie funktioniert die MalasLocker-Ransomware?

Sobald das System kompromittiert ist, verschlüsselt MalasLocker E-Mails und Dateien mit dem Age-Verschlüsselungstool. Die Altersverschlüsselung nutzt fortschrittliche Algorithmen wie X25519 (ECDH-Kurve), ChaCha20-Poly1305 und HMAC-SHA2562. Diese Verschlüsselungsmethode wird selten von Ransomware-Operationen genutzt, was MalasLocker in seinem Ansatz einzigartig macht. Es ist wichtig zu beachten, dass MalasLocker speziell auf Nicht-Windows-Systeme abzielt, wie z. B. Zimbra-Server. Die Gruppe präsentiert sich als „hacktivistische“ Ransomware-Variante mit dem Ziel, sensible E-Mails zu exfiltrieren und Dateien zu verschlüsseln. Es gibt jedoch keine Beweise für die Sicherheit oder Wirksamkeit ihres Entschlüsselungsdienstes. Wenn Sie sich an einen Ransomware-Entfernungsdienst wenden, können Sie nicht nur Ihre Dateien wiederherstellen, sondern auch potenzielle Bedrohungen entfernen.

Wie man mit einem MalasLocker-Ransomware-Angriff umgeht

Wichtig:Der erste Schritt nach der Identifizierung von MalasLocker-IOCs besteht darin, auf Ihren Incident Response Plan (IRP) zurückzugreifen. Im Idealfall verfügen Sie über einen Incident Response Retainer (IRR) mit einem vertrauenswürdigen Team von Fachleuten, die rund um die Uhr und an 365 Tagen im Jahr erreichbar sind und die sofort Maßnahmen ergreifen können, um Datenverluste zu verhindern und Sie bei der Bewältigung rechtlicher Verpflichtungen zu unterstützen.

Nach unserem besten Wissen und den Informationen, die uns zum Zeitpunkt der Veröffentlichung dieses Artikels vorliegen, besteht der erste Schritt, den ein Team von Ransomware-Recovery-Experten unternehmen würde, darin, den infizierten Computer zu isolieren, indem alle angeschlossenen Geräte entfernt werden. Gleichzeitig unterstützt Sie dieses Team bei der Kontaktaufnahme mit den lokalen Behörden Ihres Landes. Im Fall von US-Bürgern und Unternehmen ist dies der Fallörtliche FBI-Außenstelleund dieBeschwerdestelle für Internetkriminalität (IC3).Um einen Ransomware-Angriff zu melden, müssen Sie alle verfügbaren Informationen darüber sammeln, einschließlich:

Screenshots der Lösegeldforderung
Kommunikation mit Bedrohungsakteuren (sofern vorhanden)
Ein Beispiel einer verschlüsselten Datei

Allerdings, wenn Sie es vorziehenwenden Sie sich an Fachleute, dann tun Sie nichts.Lassen Sie jeden infizierten Computer so, wie er istund bitte um eineNotfall-Ransomware-Entfernungsdienst. Ein Neustart oder Herunterfahren des Systems kann den Wiederherstellungsdienst beeinträchtigen. Das Erfassen des RAM eines Live-Systems kann dabei helfen, den Verschlüsselungsschlüssel zu erhalten, und das Erfassen einer Dropper-Datei, d. h. einer Datei, die die bösartige Nutzlast ausführt, könnte ein Reverse Engineering sein und zur Entschlüsselung der Daten oder zum Verständnis ihrer Funktionsweise führen. Wenn Sie jedoch kein IRP oder IRR haben, können Sie dies trotzdem tunWenden Sie sich an Fachleute für die Entfernung und Wiederherstellung von Ransomware. Dies ist die beste Vorgehensweise und erhöht die Chancen, die Ransomware erfolgreich zu entfernen, die Daten wiederherzustellen und zukünftige Angriffe zu verhindern, erheblich. Wir empfehlen IhnenLassen Sie jeden infizierten Computer so, wie er istund rufe anNotfall-Ransomware-Wiederherstellungsdienst.

1. Kontaktieren Sie Ihren Incident Response-Anbieter

Eine Reaktion auf Cybervorfälle ist der Prozess der Reaktion auf und der Bewältigung eines Cybersicherheitsvorfalls. Ein Incident Response Retainer ist ein Servicevertrag mit einem Cybersicherheitsanbieter, der es Unternehmen ermöglicht, bei Cybersicherheitsvorfällen externe Hilfe in Anspruch zu nehmen. Es bietet Organisationen eine strukturierte Form von Fachwissen und Unterstützung durch einen Sicherheitspartner, sodass sie im Falle eines Cyber-Vorfalls schnell und effektiv reagieren können. Ein Incident-Response-Retainer gibt Organisationen Sicherheit und bietet fachkundige Unterstützung vor und nach einem Cyber-Sicherheitsvorfall. Die spezifische Art und Struktur eines Incident-Response-Retainers variiert je nach Anbieter und Anforderungen der Organisation. Ein guter Incident Response Retainer sollte robust, aber flexibel sein und bewährte Dienste bereitstellen, um die langfristige Sicherheitslage eines Unternehmens zu verbessern. Wenn Sie sich an Ihren IR-Dienstleister wenden, kümmert er sich um alles Weitere. Wenn Sie sich jedoch dazu entschließen, die Ransomware zu entfernen und die Dateien gemeinsam mit Ihrem IT-Team wiederherzustellen, können Sie die nächsten Schritte befolgen.

2. Identifizieren Sie die Ransomware-Infektion

Sie können anhand der Dateierweiterung erkennen, welche Ransomware Ihren Computer infiziert hat (manche Ransomware verwendet die Dateierweiterung als Namen).Verwendung eines Ransomware-ID-Tools, oder es wird auf dem Lösegeldschein stehen. Mit diesen Informationen können Sie nach einem öffentlichen Entschlüsselungsschlüssel suchen. Sie können den Ransomware-Typ auch anhand seiner IOCs überprüfen. Indicators of Compromise (IOCs) sind digitale Hinweise, die Cybersicherheitsexperten verwenden, um Systemkompromittierungen und böswillige Aktivitäten innerhalb eines Netzwerks oder einer IT-Umgebung zu identifizieren. Dabei handelt es sich im Wesentlichen um digitale Versionen von Beweisen, die an einem Tatort zurückgelassen wurden. Zu den potenziellen IOCs gehören ungewöhnlicher Netzwerkverkehr, privilegierte Benutzeranmeldungen aus dem Ausland, seltsame DNS-Anfragen, Änderungen an Systemdateien und mehr. Wenn ein IOC entdeckt wird, bewerten Sicherheitsteams mögliche Bedrohungen oder überprüfen seine Authentizität. IOCs liefern auch Hinweise darauf, worauf ein Angreifer Zugriff hatte, wenn er tatsächlich in das Netzwerk eindrang.

3. Entfernen Sie die Ransomware und beseitigen Sie Exploit-Kits

Bevor Sie Ihre Daten wiederherstellen, müssen Sie sicherstellen, dass Ihr Gerät frei von Ransomware ist und dass die Angreifer keinen neuen Angriff durch Exploit-Kits oder andere Schwachstellen starten können. Ein Ransomware-Entfernungsdienst kann die Ransomware löschen, ein forensisches Dokument zur Untersuchung erstellen, Schwachstellen beseitigen und Ihre Daten wiederherstellen.

4. Verwenden Sie ein Backup, um die Daten wiederherzustellen

Backups sind die effizienteste Möglichkeit, Daten wiederherzustellen. Stellen Sie sicher, dass Sie abhängig von Ihrer Datennutzung tägliche oder wöchentliche Backups erstellen.

5. Wenden Sie sich an einen Ransomware-Wiederherstellungsdienst

Wenn Sie kein Backup haben oder Hilfe beim Entfernen der Ransomware und der Beseitigung von Schwachstellen benötigen, sollten Sie sich an einen Datenrettungsdienst wenden. Die Einhaltung der Anforderungen von Bedrohungsakteuren garantiert nicht, dass Ihre Daten an Sie zurückgegeben werden. Die einzige garantierte Möglichkeit, jede Datei wiederherzustellen, besteht darin, ein Backup davon zu haben. Wenn Sie dies nicht tun, können Ihnen Ransomware-Datenwiederherstellungsdienste dabei helfen, die Dateien zu entschlüsseln und wiederherzustellen. SalvageData-Experten können Ihre Dateien sicher wiederherstellen und verhindern, dass MalasLocker-Ransomware Ihr Netzwerk erneut angreift. Kontaktieren Sie unsere Experten rund um die Uhr für einen Notfall-Wiederherstellungsdienst.

Verhindern Sie den MalasLocker-Ransomware-Angriff

Die beste Lösung für die Datensicherheit ist die Verhinderung von Ransomware. ist einfacher und billiger, als sich davon zu erholen. MalasLocker-Ransomware kann die Zukunft Ihres Unternehmens kosten und sogar seine Türen schließen. Dies sind ein paar Tipps, um sicherzustellen, dass Sie es könnenVermeiden Sie Ransomware-Angriffe: