NailaoLocker Ransomware: een groeiende bedreiging voor Europese organisaties

Wat is NailaoLocker Ransomware?

NailaoLocker is een ransomware-type programma geschreven in C++, ontworpen om de bestanden van slachtoffers te versleutelen en betaling te eisen voor hun ontsleuteling. Deze dreiging is waargenomen bij organisaties in Europa, waaronder die in de gezondheidszorg. Hoewel het niet definitief is gekoppeld aan een bekende cybercriminele groep, lijken de tactieken op die van beruchte Chinese actoren.

Zodra NailaoLocker een systeem infiltreert, versleutelt het bestanden en voegt het een ".locked"-extensie toe aan hun namen. Bijvoorbeeld, een bestand met de naam "document.pdf" zou na versleuteling verschijnen als "document.pdf.locked". Na dit proces genereert de ransomware een losgeldbrief waarin slachtoffers worden gewaarschuwd voor de gevolgen van het niet betalen van het gevraagde bedrag.

Wat NailaoLocker Ransomware eist

De losgeldbrief informeert slachtoffers dat hun bestanden zijn versleuteld en alleen kunnen worden hersteld door losgeld te betalen in Bitcoin . Hoewel het exacte bedrag niet is gespecificeerd, waarschuwt het bericht dat het niet naleven binnen een week zal resulteren in het verwijderen van de getroffen bestanden. De aanvallers beweren dat zodra de betaling is gedaan, de decodering binnen 24 uur zal plaatsvinden.

Slachtoffers wordt ook geadviseerd om niet te knoeien met de versleutelde bestanden. Pogingen om ze te verplaatsen, verwijderen of decoderen met behulp van applicaties van derden kunnen leiden tot permanent gegevensverlies. Ondanks deze waarschuwingen is er echter geen garantie dat de aanvallers decoderingstools zullen verstrekken, zelfs als het losgeld wordt betaald.

Hier is de volledige losgeldbrief:

[1.Your important files are encrypted. If you want to decrypt your files, please follow the instructions.]

[2.Do you need file decryption service (restore your files to their original state)? If not, your files will be automatically deleted after one week.]

[3.If you need to purchase unlocking service, please contact us and we will tell you the amount (pay with BTC)]

[4.After you complete the payment using BTC, we will deliver the unlocking program within 24 hours. Once the program is run on the locked computer, all files will be unlocked.]

[5.BTC purchase website:hxxps://www.coinbase.com, hxxps://www.bitfinex.com, hxxps://www.binance.com]

[Contact us on johncollinsy@proton.me]

[Notice:Do not delete or move locked files without unlocking them first.]

[Notice:The encryption algorithm uses symmetric encryption, and the password is a string of characters with the same length as the Bitcoin private key. If you can crack Bitcoin, then congratulations, you can decrypt it yourself. Otherwise, please contact us to purchase our decryption tool. Don't have illusions!!!]

Een ransomware-stam met zwakke uitvoering

In tegenstelling tot geavanceerdere ransomware, mist NailaoLocker anti-debugging functies en schakelt het geen kritieke systeemprocessen of services uit voor encryptie. Dit toezicht betekent dat als essentiële systeembestanden worden gecodeerd, het besturingssysteem onbruikbaar kan worden. Bovendien, terwijl sommige ransomware-stammen zich bezighouden met dubbele afpersing door gevoelige gegevens te stelen, vermeldt de losgeldbrief van NailaoLocker niet expliciet data-exfiltratie.

Gezien onze uitgebreide ervaring met ransomware-infecties kunnen we concluderen dat decryptie zonder de medewerking van de aanvallers doorgaans onmogelijk is. Zelfs in gevallen waarin het losgeld wordt betaald, leveren cybercriminelen vaak niet de beloofde decryptiesleutel. Het ondersteunen van deze illegale activiteit door het losgeld te betalen, wordt ten zeerste afgeraden.

Voorkomen van verdere schade door NailaoLocker

Het verwijderen van NailaoLocker van een geïnfecteerd systeem kan extra bestandsversleuteling voorkomen, maar het zal geen gecompromitteerde gegevens herstellen. De enige effectieve manier om versleutelde bestanden te herstellen is via back-ups die apart van het geïnfecteerde systeem zijn opgeslagen. Dit benadrukt het belang van het onderhouden van back-ups op meerdere locaties, zoals losgekoppelde externe opslagapparaten en externe servers.

De overeenkomsten tussen NailaoLocker en andere ransomware

NailaoLocker volgt hetzelfde patroon als andere ransomware-bedreigingen, zoals Vgod , CipherLocker , FXLocker , SafePay en DeathHunters . Al deze programma's versleutelen bestanden en eisen betaling voor het herstel ervan. Ze verschillen echter op twee belangrijke punten: de gebruikte cryptografische algoritmen (symmetrisch of asymmetrisch) en het losgeldbedrag, dat varieert op basis van of het doelwit een individuele gebruiker of een grote organisatie is.

Hoewel NailaoLocker relatief ongesofisticeerd is, vormt het nog steeds een aanzienlijke bedreiging voor bedrijven en instellingen die geen robuuste cybersecuritymaatregelen hebben. Ransomwaregroepen stemmen hun aanvallen vaak af op het exploiteren van specifieke kwetsbaarheden in de netwerken van hun doelwitten.

Hoe NailaoLocker systemen infiltreert

Bij waargenomen aanvallen op Europese organisaties werd NailaoLocker ingezet door misbruik te maken van een kwetsbaarheid in de Check Point VPN-applicatie, mogelijk degene die is geïdentificeerd als "CVE-2024-24919". De dreiging werd geïntroduceerd via de ShadowPad-malware of de PlugX Remote Access Trojan (RAT). Deze ransomware kan zich echter ook verspreiden via andere veelvoorkomende distributiemethoden.

Cybercriminelen vertrouwen vaak op phishing- en social engineeringtactieken om ransomware te verspreiden. Kwaadaardige software wordt vaak vermomd als of gebundeld met ogenschijnlijk onschadelijke bestanden. Zodra deze bestanden worden geopend, starten ze het downloaden en uitvoeren van de malware.

Veelvoorkomende distributiemethoden voor ransomware

Ransomware zoals NailaoLocker wordt vaak verspreid via verschillende kanalen, waaronder:

• Drive-by-downloads van gecompromitteerde of kwaadaardige websites
• Bedreigingen van het type loader/backdoor
• Dubieuze downloadbronnen, zoals externe platforms voor het hosten van bestanden en peer-to-peer-netwerken
• Online oplichting die erop gericht is gebruikers te misleiden zodat ze schadelijke bestanden uitvoeren
• Malvertisingcampagnes die schadelijke advertenties op legitieme sites injecteren
• Spam-e-mails en instant messages met geïnfecteerde bijlagen of links
• Nep-software-updates en illegale activeringstools ("cracks")
• Zelfvoortplanting via lokale netwerken en verwijderbare opslagapparaten

Met deze tactieken kan ransomware zich snel verspreiden en meerdere systemen binnen een organisatie infecteren, waardoor de impact ervan groter wordt.

Best practices om ransomware-infecties te voorkomen

Om het risico op ransomware-infecties te verkleinen, moeten gebruikers en organisaties de volgende beveiligingsmaatregelen nemen:

• Download software alleen van officiële en gerenommeerde websites
• Werk programma's regelmatig bij met behulp van legitieme updatefuncties
• Wees voorzichtig bij het openen van e-mails van onbekende afzenders, vooral die met bijlagen of links
• Maak gebruik van sterke netwerkbeveiligingsmaatregelen, waaronder firewalls en systemen voor inbraakdetectie
• Offline en cloudback-ups van kritieke gegevens onderhouden
• Leer medewerkers phishing en andere social engineering-aanvallen herkennen

Door deze maatregelen te implementeren, kunnen individuen en bedrijven de kans op een aanval van NailaoLocker of soortgelijke bedreigingen aanzienlijk verkleinen.

Conclusie

NailaoLocker ransomware, hoewel niet de meest geavanceerde variant, vormt een reëel risico voor organisaties, met name in Europa. De afhankelijkheid van standaard encryptietactieken en losgeldeisen brengt het in lijn met andere ransomwareprogramma's, maar het gebrek aan geavanceerde ontwijkingstechnieken kan de algehele effectiviteit beperken.

Zoals bij alle ransomware is preventie de beste verdediging. Gebruikers moeten waakzaam blijven, de beste beveiligingspraktijken toepassen en ervoor zorgen dat kritieke gegevens worden geback-upt op veilige locaties. Omdat het betalen van het losgeld geen garantie biedt voor gegevensherstel, is het voorkomen van infectie in de eerste plaats van het grootste belang.