FBI waarschuwt voor ransomware die volledige harde schijf versleutelt

[Captain Kirk]

De FBI heeft een waarschuwing afgegeven voor de Mamba-ransomware die de volledige harde schijf versleutelt, waardoor het besturingssysteem niet meer kan worden opgestart. De ransomware is al tegen lokale overheden, transportagentschappen, juridische dienstverleners en allerlei soorten bedrijven ingezet, aldus de Amerikaanse opsporingsdienst (pdf).

In tegenstelling tot veel andere ransomware-exemplaren, die alleen bepaalde type bestanden versleutelen, versleutelt Mamba de volledige harde schijf. Hiervoor maakt de ransomware gebruik van DiskCryptor, een opensourceprogramma voor volledige schijfversleuteling. Zodra het systeem is versleuteld verschijnt er bij het opnieuw opstarten een melding dat er betaald moet worden om weer toegang te krijgen.

Er is echter een mogelijkheid om zonder te betalen de harde schijf te ontsleutelen. Zodra de Mamba-ransomware actief is installeert die het programma DiskCryptor voor het versleutelen van de harde schijf. Om de installatie van de benodigde driver af te ronden wordt het systeem herstart. De encryptiesleutel die wordt gebruikt voor het versleutelen van de schijf wordt in een bestand op de computer opgeslagen. De inhoud van dit bestand is tot de tweede herstart van het systeem, waarna de versleuteling is afgerond, toegankelijk. Dit is meestal zo'n twee uur na de eerste herstart.

Mocht op een systeem de aanwezigheid van DiskCryptor worden aangetroffen adviseert de FBI om naar de aanwezigheid van het bestand myConf.txt te zoeken en het wachtwoord te onthouden. Daarmee kan het systeem namelijk worden ontsleuteld zonder het losgeld te betalen. Om besmetting met de Mamba-ransomware te voorkomen raadt de FBI onder andere aan om DiskCryptor, als hier geen gebruik van wordt gemaakt, op een blacklist te zetten.

 

bron: https://www.security.nl