Friends Ransomware

Het beschermen van apparaten tegen malware is belangrijker dan ooit, omdat moderne cyberdreigingen waardevolle gegevens kunnen versleutelen, bedrijfsprocessen kunnen verstoren en gevoelige informatie kunnen blootleggen. Ransomware blijft met name een van de meest schadelijke vormen van malware, omdat het gegevensversleuteling combineert met afpersingstactieken die erop gericht zijn slachtoffers onder druk te zetten grote sommen geld te betalen. Een bekend voorbeeld is Friends Ransomware, een geavanceerde dreiging die zich richt op een breed scala aan bestandstypen en tegelijkertijd gebruikmaakt van gegevensdiefstal om de kans op betaling te vergroten.

Friends Ransomware: een cyberdreiging met dubbele afpersing

Friends Ransomware is een kwaadaardig programma dat is ontdekt door cybersecurityonderzoekers. Het versleutelt bestanden op geïnfecteerde systemen en eist losgeld in ruil voor een decryptiesleutel. Naast het versleutelen van bestanden beweren de beheerders achter deze dreiging ook vertrouwelijke informatie van slachtoffers te stelen voordat ze hun gegevens vergrendelen. Deze tactiek, die algemeen bekend staat als dubbele afpersing, stelt aanvallers in staat om zowel dataverlies als openbare publicatie van gevoelige informatie te dreigen.

Eenmaal uitgevoerd op een systeem scant Friends Ransomware op talloze bestandstypen en versleutelt deze. Tijdens dit proces voegt het de extensie '.friends124' toe aan de getroffen bestanden. Een bestand met de naam '1.png' wordt bijvoorbeeld '1.png.friends124', terwijl '2.pdf' '2.pdf.friends124' wordt. Deze extensie dient als een duidelijke indicatie dat de bestanden door de malware zijn verwerkt en niet langer op normale wijze toegankelijk zijn.

Versleutelingsproces en losgeldeisen

Na de versleutelingsprocedure maakt de ransomware een bestand aan met de naam 'RANSOM_NOTE.html' dat instructies voor het slachtoffer bevat. In dit bericht wordt gebruikers meegedeeld dat hun bestanden zijn versleuteld en worden contactgegevens verstrekt voor het starten van losgeldonderhandelingen. Slachtoffers worden geïnstrueerd om met de aanvallers te communiceren via de e-mailadressen 'recovery1@salamati.vip' en 'recovery1@amniyat.xyz'. Een alternatieve contactmethode via het Tor-netwerk wordt ook vermeld.

In de losgeldnota wordt beweerd dat vertrouwelijke en persoonlijke gegevens zijn verzameld en opgeslagen op een privéserver die door de aanvallers wordt beheerd. Volgens het bericht zullen deze gegevens openbaar worden gemaakt of aan derden worden verkocht als het slachtoffer weigert aan de losgeldeisen te voldoen. Om slachtoffers ervan te overtuigen dat bestandsherstel mogelijk is, bieden de criminelen aan om twee of drie niet-essentiële bestanden gratis te decoderen. De nota waarschuwt verder dat het losgeldbedrag zal stijgen als er binnen 72 uur geen contact wordt opgenomen en adviseert slachtoffers om een ProtonMail-account aan te maken voordat ze contact opnemen.

Waarom het betalen van losgeld een riskante beslissing is

Slachtoffers overwegen vaak losgeld te betalen wanneer cruciale bestanden ontoegankelijk worden. Het betalen van losgeld aan cybercriminelen biedt echter geen garantie voor succesvol herstel. Talrijke ransomware-aanvallen hebben betalingen geïnd zonder werkende decryptietools te leveren, of hebben programma's geleverd die er niet in slaagden alle getroffen gegevens te herstellen.

Zelfs wanneer aanvallers een decryptietool leveren, ondersteunt betaling criminele activiteiten en moedigt het toekomstige aanvallen op andere personen en organisaties aan. Om deze redenen raden cybersecurityprofessionals het betalen van losgeld ten zeerste af. In de meeste gevallen kunnen versleutelde bestanden niet worden hersteld zonder de decryptiesleutel van de aanvallers, tenzij de ransomware aanzienlijke implementatiefouten bevat die onderzoekers kunnen uitbuiten om een gratis decryptietool te ontwikkelen.

Herstel en incidentbestrijding

De eerste prioriteit na een infectie is het verwijderen van Friends Ransomware van het getroffen systeem. Het verwijderen van de malware helpt voorkomen dat er nog meer bestanden worden versleuteld en vermindert het risico op verdere kwaadaardige activiteiten. Het verwijderen van malware alleen herstelt echter niet de reeds versleutelde gegevens.

De meest betrouwbare herstelmethode is het herstellen van bestanden vanuit back-ups die zijn gemaakt voordat de infectie plaatsvond. Back-ups moeten apart van het primaire systeem worden opgeslagen, zodat ze tijdens een aanval onaangetast blijven. Als back-ups op hetzelfde netwerk zijn aangesloten of continu toegankelijk blijven, kan ransomware proberen deze ook te versleutelen, waardoor slachtoffers geen herstelmogelijkheid meer hebben.

Hoe de Friends-ransomware zich verspreidt

Net als veel andere ransomwarefamilies maakt Friends Ransomware gebruik van meerdere distributiekanalen om potentiële slachtoffers te bereiken. Phishing-e-mails behoren nog steeds tot de meest effectieve verspreidingsmethoden. Deze berichten bevatten vaak schadelijke bijlagen of links die, wanneer ze worden geopend, malware downloaden. Aanvallers gebruiken doorgaans documentbestanden met schadelijke macro's, gecomprimeerde archieven, uitvoerbare bestanden, pdf's en op JavaScript gebaseerde payloads.

Andere infectiebronnen zijn onder meer trojans die ransomware stilletjes installeren, nep-software-updates, kwaadaardige advertenties, gecompromitteerde websites en downloads van onbetrouwbare bronnen. Freeware-portalen, peer-to-peer-bestandsuitwisselingsnetwerken en andere onofficiële distributieplatformen hosten vaak kwaadaardige bestanden die zich voordoen als legitieme software. Geïnfecteerde USB-sticks kunnen ook de verspreiding van ransomware tussen systemen vergemakkelijken.

Een veelvoorkomend infectiescenario betreft softwarecracks en illegale activeringsprogramma's. Cybercriminelen vermommen malware vaak als gratis alternatieven voor betaalde software en maken zo misbruik van gebruikers die bereid zijn de officiële distributiekanalen te omzeilen. Eenmaal uitgevoerd, kunnen deze ogenschijnlijk onschadelijke programma's zonder waarschuwing ransomware installeren.

Versterking van de verdediging tegen ransomware

Effectieve bescherming tegen ransomware vereist een gelaagde beveiligingsstrategie die technische beveiligingsmaatregelen combineert met veilig gebruikersgedrag. Organisaties en individuen moeten betrouwbare beveiligingssoftware gebruiken, ervoor zorgen dat besturingssystemen en applicaties regelmatig worden bijgewerkt en onnodige functies uitschakelen die door aanvallers kunnen worden misbruikt. E-mailbijlagen en links van onbekende of onverwachte bronnen moeten altijd met de nodige voorzichtigheid worden behandeld, zelfs als ze legitiem lijken.

Regelmatige back-ups van gegevens behoren tot de belangrijkste verdedigingsmaatregelen. Het bewaren van meerdere back-upkopieën op verschillende locaties, zoals offline externe schijven en beveiligde oplossingen voor opslag op afstand, verbetert de herstelkansen na een aanval aanzienlijk. Ook is het belangrijk om periodiek back-uptests uit te voeren om te controleren of de gegevens indien nodig succesvol kunnen worden hersteld.

Belangrijke beveiligingsmaatregelen omvatten:

• Zorg ervoor dat uw besturingssystemen, browsers en applicaties volledig zijn bijgewerkt met de nieuwste beveiligingspatches.
• Gebruik betrouwbare endpointbeveiligingssoftware met realtime dreigingsdetectie.
• Zorg voor meerdere back-ups, waaronder ten minste één offline of anderszins geïsoleerde kopie.
• Open geen ongevraagde e-mailbijlagen en klik niet op verdachte links.
• Download software alleen van officiële en betrouwbare bronnen.
• Gebruik geen illegale software, cracks of onbevoegde activeringsprogramma's.
• Beperk beheerdersrechten waar mogelijk.
• Informeer gebruikers over phishingtactieken en social engineering-aanvallen.

Eindbeoordeling

Friends Ransomware vormt een ernstige cyberdreiging die bestandsversleuteling combineert met datadiefstal en afpersing. Door de extensie '.friends124' aan bestanden toe te voegen, een losgeldbrief met de titel 'RANSOM_NOTE.html' te plaatsen en te dreigen gestolen informatie openbaar te maken, proberen de beheerders de druk op slachtoffers te maximaliseren. Hoewel herstelmogelijkheden vaak beperkt zijn zonder betrouwbare back-ups, kunnen sterke cybersecuritymaatregelen, regelmatige back-ups, tijdige software-updates en voorzichtig online gedrag de kans op een succesvolle ransomware-aanval aanzienlijk verkleinen en de impact minimaliseren als er toch een infectie optreedt.