NailaoLocker Ransomware: Eine wachsende Bedrohung für europäische Organisationen

Was ist NailaoLocker-Ransomware?

NailaoLocker ist ein in C++ geschriebenes Ransomware-ähnliches Programm, das darauf ausgelegt ist, die Dateien der Opfer zu verschlüsseln und für die Entschlüsselung eine Zahlung zu verlangen. Es wurde beobachtet, dass diese Bedrohung auf Organisationen in Europa abzielt, darunter auch solche im Gesundheitssektor. Obwohl es nicht eindeutig mit einer bekannten Gruppe von Cyberkriminellen in Verbindung gebracht werden kann, ähneln seine Taktiken denen berüchtigter, mit China verbundener Akteure.

Sobald NailaoLocker ein System infiltriert, verschlüsselt es Dateien und hängt an ihre Namen die Erweiterung „.locked“ an. Beispielsweise würde eine Datei mit dem Namen „document.pdf“ nach der Verschlüsselung als „document.pdf.locked“ erscheinen. Nach diesem Vorgang generiert die Ransomware eine Lösegeldforderung, die die Opfer vor den Konsequenzen warnt, wenn sie den geforderten Betrag nicht zahlen.

Was NailaoLocker Ransomware verlangt

Der Erpresserbrief informiert die Opfer darüber, dass ihre Dateien verschlüsselt sind und nur durch Zahlung eines Lösegelds in Bitcoin wiederhergestellt werden können. Der genaue Betrag ist nicht angegeben, die Nachricht warnt jedoch, dass bei Nichtzahlung innerhalb einer Woche die betroffenen Dateien gelöscht werden. Die Angreifer behaupten, dass nach Zahlungseingang die Entschlüsselung innerhalb von 24 Stunden erfolgt.

Opfern wird außerdem davon abgeraten, die verschlüsselten Dateien zu manipulieren. Versuche, sie mithilfe von Anwendungen von Drittanbietern zu verschieben, zu löschen oder zu entschlüsseln, können zu einem dauerhaften Datenverlust führen. Trotz dieser Warnungen gibt es jedoch keine Garantie dafür, dass die Angreifer Entschlüsselungstools bereitstellen, selbst wenn das Lösegeld gezahlt wird.

Hier ist der vollständige Erpresserbrief:

[1.Your important files are encrypted. If you want to decrypt your files, please follow the instructions.]

[2.Do you need file decryption service (restore your files to their original state)? If not, your files will be automatically deleted after one week.]

[3.If you need to purchase unlocking service, please contact us and we will tell you the amount (pay with BTC)]

[4.After you complete the payment using BTC, we will deliver the unlocking program within 24 hours. Once the program is run on the locked computer, all files will be unlocked.]

[5.BTC purchase website:hxxps://www.coinbase.com, hxxps://www.bitfinex.com, hxxps://www.binance.com]

[Contact us on johncollinsy@proton.me]

[Notice:Do not delete or move locked files without unlocking them first.]

[Notice:The encryption algorithm uses symmetric encryption, and the password is a string of characters with the same length as the Bitcoin private key. If you can crack Bitcoin, then congratulations, you can decrypt it yourself. Otherwise, please contact us to purchase our decryption tool. Don't have illusions!!!]

Ein Ransomware-Stamm mit schwacher Ausführung

Im Gegensatz zu fortgeschrittenerer Ransomware verfügt NailaoLocker nicht über Anti-Debugging-Funktionen und deaktiviert keine kritischen Systemprozesse oder -dienste vor der Verschlüsselung. Dieses Versäumnis bedeutet, dass das Betriebssystem unbrauchbar werden kann, wenn wichtige Systemdateien verschlüsselt werden. Während einige Ransomware-Varianten zudem eine doppelte Erpressung betreiben, indem sie vertrauliche Daten stehlen, wird in der Lösegeldforderung von NailaoLocker die Datenexfiltration nicht explizit erwähnt.

Aufgrund unserer umfangreichen Erfahrung mit Ransomware-Infektionen können wir zu dem Schluss kommen, dass eine Entschlüsselung ohne die Mitwirkung der Angreifer normalerweise unmöglich ist. Selbst in Fällen, in denen das Lösegeld gezahlt wird, liefern Cyberkriminelle den versprochenen Entschlüsselungsschlüssel häufig nicht. Es wird dringend davon abgeraten, diese illegalen Aktivitäten durch die Zahlung des Lösegelds zu unterstützen.

Weitere Schäden durch NailaoLocker verhindern

Das Entfernen von NailaoLocker von einem infizierten System kann eine weitere Dateiverschlüsselung verhindern, kompromittierte Daten werden dadurch jedoch nicht wiederhergestellt. Die einzige effektive Möglichkeit, verschlüsselte Dateien wiederherzustellen, sind Backups, die getrennt vom infizierten System gespeichert werden. Dies unterstreicht die Bedeutung der Aufbewahrung von Backups an mehreren Orten, beispielsweise auf nicht angeschlossenen externen Speichergeräten und Remote-Servern.

Die Ähnlichkeiten zwischen NailaoLocker und anderer Ransomware

NailaoLocker folgt demselben Muster wie andere Ransomware-Bedrohungen wie Vgod , CipherLocker , FXLocker , SafePay und DeathHunters . Alle diese Programme verschlüsseln Dateien und verlangen eine Zahlung für ihre Wiederherstellung. Sie unterscheiden sich jedoch in zwei wesentlichen Aspekten: den verwendeten kryptografischen Algorithmen (symmetrisch oder asymmetrisch) und der Höhe des Lösegelds, die davon abhängt, ob das Ziel ein einzelner Benutzer oder eine große Organisation ist.

NailaoLocker ist zwar relativ unkompliziert, stellt aber dennoch eine erhebliche Bedrohung für Unternehmen und Institutionen dar, die nicht über robuste Cybersicherheitsmaßnahmen verfügen. Ransomware-Gruppen schneidern ihre Angriffe oft so zurecht, dass sie bestimmte Schwachstellen in den Netzwerken ihrer Ziele ausnutzen.

Wie NailaoLocker Systeme infiltriert

Bei beobachteten Angriffen auf europäische Organisationen wurde NailaoLocker eingesetzt, indem eine Schwachstelle in der VPN-Anwendung von Check Point ausgenutzt wurde, möglicherweise die als „CVE-2024-24919“ identifizierte. Die Bedrohung wurde durch die ShadowPad-Malware oder den PlugX Remote Access Trojan (RAT) eingeführt. Diese Ransomware könnte sich jedoch auch über andere gängige Verbreitungsmethoden verbreiten.

Cyberkriminelle nutzen häufig Phishing- und Social-Engineering-Taktiken, um Ransomware zu verbreiten. Schadsoftware wird oft als scheinbar harmlose Dateien getarnt oder mit diesen gebündelt. Sobald diese Dateien geöffnet werden, initiieren sie den Download und die Ausführung der Malware.

Gängige Verbreitungsmethoden von Ransomware

Ransomware wie NailaoLocker wird üblicherweise auf verschiedene Weise verbreitet, darunter:

• Drive-by-Downloads von kompromittierten oder bösartigen Websites
• Bedrohungen vom Typ Loader/Backdoor
• Dubiose Downloadquellen, wie Filehosting-Plattformen von Drittanbietern und Peer-to-Peer-Sharing-Netzwerke
• Online-Betrugsmaschen, die Benutzer dazu verleiten sollen, schädliche Dateien auszuführen
• Malvertising-Kampagnen, die schädliche Anzeigen auf legitimen Websites einschleusen
• Spam-E-Mails und Instant Messages mit infizierten Anhängen oder Links
• Gefälschte Software-Updates und illegale Aktivierungstools („Cracks“)
• Selbstverbreitung über lokale Netzwerke und Wechseldatenträger

Durch diese Taktiken kann sich Ransomware schnell verbreiten und mehrere Systeme innerhalb einer Organisation infizieren, wodurch ihre Wirkung verstärkt wird.

Best Practices zur Vermeidung von Ransomware-Infektionen

Um das Risiko einer Ransomware-Infektion zu verringern, sollten Benutzer und Organisationen die folgenden Sicherheitsmaßnahmen ergreifen:

• Laden Sie Software nur von offiziellen und seriösen Websites herunter
• Aktualisieren Sie Programme regelmäßig mit legitimen Update-Funktionen
• Seien Sie vorsichtig beim Öffnen von E-Mails von unbekannten Absendern, insbesondere solchen, die Anhänge oder Links enthalten
• Setzen Sie starke Netzwerksicherheitsmaßnahmen ein, einschließlich Firewalls und Intrusion Detection Systems
• Verwalten Sie Offline- und Cloud-Backups wichtiger Daten
• Schulen Sie Ihre Mitarbeiter darin, Phishing und andere Social-Engineering-Angriffe zu erkennen

Durch die Umsetzung dieser Praktiken können Einzelpersonen und Unternehmen die Wahrscheinlichkeit eines Angriffs durch NailaoLocker oder ähnlicher Bedrohungen erheblich verringern.

Fazit

NailaoLocker-Ransomware ist zwar nicht die ausgefeilteste Variante, stellt aber ein echtes Risiko für Organisationen dar, insbesondere in Europa. Da sie auf Standard-Verschlüsselungstaktiken und Lösegeldforderungen setzt, ist sie mit anderen Ransomware-Programmen vergleichbar, doch das Fehlen ausgefeilter Umgehungstechniken kann ihre allgemeine Wirksamkeit einschränken.

Wie bei jeder Ransomware ist Vorbeugung die beste Verteidigung. Benutzer sollten wachsam bleiben, die besten Sicherheitspraktiken anwenden und sicherstellen, dass wichtige Daten an sicheren Orten gesichert werden. Da die Zahlung des Lösegelds keine Datenwiederherstellung garantiert, ist es von größter Bedeutung, eine Infektion von vornherein zu vermeiden.