PayForRepair Ransomware hangt een prijskaartje aan uw bestanden

Een nieuwe bedreiging op het cybertoneel

Cybersecurityonderzoekers hebben een nieuwe variant van ransomware ontdekt die geïnfecteerde systemen binnendringt: PayForRepair . Dit schadelijke programma behoort tot de bekende Dharma-ransomwarefamilie en volgt een bekend maar gevaarlijk patroon: bestanden versleutelen en losgeld eisen in ruil voor ontsleuteling.

PayForRepair is ontworpen om de toegang tot de gegevens van slachtoffers te blokkeren door een uniek identificeerbaar label toe te passen op elk versleuteld bestand. Geïnfecteerde bestanden worden hernoemd en bevatten een slachtofferspecifieke ID, het e-mailadres van de aanvallers en de extensie ".P4R". Slachtoffers ontvangen ook losgeldberichten in de vorm van pop-upvensters en een tekstbestand met de naam info.txt , dat in elke getroffen map wordt geplaatst.

Dit staat er in de losgeldbrief:

All your files have been encrypted!

Don't worry, you can return all your files!
If you want to restore them, write to the mail: payforrepair@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:payforrepair@mailum.com

Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)

How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Wat PayForRepair wil

Ransomware zoals PayForRepair is ontwikkeld om persoonlijke en zakelijke gegevens ontoegankelijk te maken door ze te versleutelen met behulp van sterke algoritmen. Eenmaal versleuteld, kunnen de bestanden niet worden geopend of gebruikt, tenzij een unieke decryptiesleutel wordt verstrekt – iets wat alleen de aanvaller heeft. De losgeldbrief van PayForRepair instrueert slachtoffers om de aanvallers te e-mailen om te onderhandelen over gegevensherstel. De pop-up verduidelijkt de situatie verder door te stellen dat decryptie pas plaatsvindt nadat de betaling in Bitcoin is gedaan.

De aanvallers tonen hun "goede trouw" door het slachtoffer toe te staan om maximaal drie bestanden gratis te decoderen, mits deze bestanden aan bepaalde criteria voldoen. Deze tactiek wordt vaak gebruikt om vertrouwen op te bouwen en het slachtoffer onder druk te zetten om te betalen. Ze waarschuwen slachtoffers echter ook tegen het gebruik van hersteltools van derden, omdat dit de versleutelde bestanden permanent zou kunnen beschadigen – een angsttactiek die kenmerkend is voor ransomwarecampagnes.

Waarom op dharma gebaseerde aanvallen moeilijk te verslaan zijn

Als lid van de Dharma-ransomwarefamilie deelt PayForRepair verschillende kenmerken met zijn soortgenoten. Hoewel het kritieke systeembestanden spaart – wat betekent dat slachtoffers hun apparaten nog steeds kunnen gebruiken – richt het zich willekeurig op lokale en via het netwerk gedeelde bestanden. De ransomware verhoogt zijn slagingspercentage door processen met betrekking tot geopende bestanden, zoals bestanden die worden gebruikt door databases of productiviteitsapps, te beëindigen, zodat ook die bestanden kunnen worden vergrendeld.

Om geïnfecteerde systemen te controleren, nestelt Dharma-malware zich vaak op specifieke locaties op de computer, zoals de map %LOCALAPPDATA% , en stelt zichzelf in om te starten telkens wanneer de computer opnieuw wordt opgestart. Het verwijdert ook alle Volume Shadow Copies – een ingebouwde back-upfunctie van Windows – zodat slachtoffers hun systemen niet zomaar kunnen terugzetten naar een eerdere staat.

De harde realiteit: betalen helpt misschien niet

Helaas zijn de kansen klein als slachtoffers hun bestanden eenmaal hebben vergrendeld met PayForRepair. De gebruikte versleutelingsmethoden zijn over het algemeen robuust en zonder de decryptiesleutel van de aanvallers is herstel vrijwel onmogelijk. Zelfs als slachtoffers het losgeld betalen, is er geen garantie dat de decryptietools daadwerkelijk worden verstrekt. In veel gevallen nemen cybercriminelen de betaling gewoon aan en verdwijnen.

Daarom raden cybersecurityexperts het betalen van losgeld ten zeerste af. Dit financiert niet alleen criminele activiteiten, maar stimuleert ook de groei van ransomware-as-a-service (RaaS)-modellen, waarbij malwarekits worden verkocht of verhuurd aan andere kwaadwillenden voor grootschalige aanvallen.

Hoe PayForRepair zich verspreidt

De meest voorkomende infectiemethode voor Dharma-ransomwarevarianten, waaronder PayForRepair, is via zwakke Remote Desktop Protocol (RDP)-services. Aanvallers gebruiken bruteforce-technieken om wachtwoorden te raden en toegang te krijgen tot systemen met slechte inlogbeveiliging. Eenmaal binnen kunnen ze eenvoudig ransomware installeren en verdedigingsmechanismen zoals firewalls uitschakelen.

RDP is echter niet de enige vector. Andere veelvoorkomende methoden zijn phishingmails, kwaadaardige bestandsbijlagen, nep-software-updates en downloads van ongeverifieerde bronnen. Vaak is ransomware vermomd als een onschuldig ogend document of installatiebestand. Wanneer het wordt geopend, installeert het zichzelf stilletjes en begint het bestanden te versleutelen.

In sommige gevallen kan ransomware zich lateraal over netwerken verspreiden of zelfs verwisselbare media zoals USB-sticks infecteren. Dit onderstreept de noodzaak van meerlaagse verdedigingsmechanismen die verder gaan dan alleen antivirussoftware.

Optimale praktijken voor preventie en herstel

Omdat het verwijderen van ransomware zoals PayForRepair je bestanden niet decodeert, is preventie de beste verdedigingslinie. Een van de belangrijkste stappen is het regelmatig bewaren van offline back-ups op veilige en aparte locaties – idealiter in zowel fysieke als cloudomgevingen. Dit zorgt ervoor dat zelfs als je wordt aangevallen, je gegevens kunnen worden hersteld zonder losgeld te betalen.

Gebruikers moeten ook voorzichtig zijn bij het online browsen of het openen van ongevraagde e-mails. Bijlagen en links van onbekende bronnen moeten altijd met argwaan worden behandeld. Daarnaast moeten organisaties ongebruikte RDP-toegang uitschakelen, een sterk wachtwoordbeleid hanteren en hun software regelmatig bijwerken om bekende kwetsbaarheden te verhelpen.

Het evoluerende ransomwarelandschap

PayForRepair voegt zich bij een groeiende lijst van ransomwarevarianten, waaronder Jackalock , DarkMystic en VerdaCrypt . Elk werkt met net iets andere methoden en doelwitten, maar ze hebben allemaal een gemeenschappelijk doel: gegevens vergrendelen en geld afpersen. Sommige eisen een paar honderd dollar; andere miljoenen, afhankelijk van het doelwit.

Naarmate bedreigingen zich blijven ontwikkelen, moet ook ons begrip van hoe ze werken en hoe we ons ertegen kunnen verdedigen, toenemen. Hoewel PayForRepair slechts één naam is in een drukbezochte ransomware-wereld, laten de methoden ervan duidelijk zien hoe zelfs routinematig browsen of e-mail checken de deur kan openen voor aanzienlijke verstoringen – tenzij er adequate beveiliging is.