Torrentlocker levert criminelen kwart miljoen euro aan bitcoins op

De ransomware Torrentlocker heeft de criminelen die erachter zitten tot nu toe een kwart miljoen euro opgeleverd. Dat heeft het Nederlandse beveiligingsbedrijf Fox-IT becijferd. De malware verspreidt zich via e-mails met onder meer track&trace-codes.

Torrentlocker levert de criminelen geld op, omdat getroffenen een bedrag in bitcoins moeten overmaken om bestanden te ontsleutelen die de malware gijzelt. Er zijn zeven bitcoin-adressen betrokken bij de malware, zo zegt Fox-IT. Omdat de malware voor de ontsleuteling omgerekend zo'n 400 euro vraagt, ligt het voor de hand dat tot nu toe rond 650 mensen het losgeld hebben betaald. Fox-IT heeft meer dan 4000 infecties waargenomen.

De ransomware verspreidt zich door in Thunderbird, Outlook en Windows Live Mail naar e-mailadressen van contacten te speuren. Bovendien zoekt het naar wachtwoorden om in te loggen op mailaccounts. Beoogde slachtoffers krijgen een mail met een link naar wat een track&trace-pagina van een postbedrijf lijkt te zijn. Na de invoering van een captcha biedt de site een zipbestand aan met daarin een op een pdf gelijkende executable. Deze malware begint vervolgens toegankelijke bestanden te versleutelen.

De ransomware heeft ook slachtoffers gemaakt in Nederland, bleek al eerder. De meeste e-mailadressen die de malware heeft misbruikt zijn echter van Australiërs. Fox-IT zei eerder te onderzoeken of het een ontsleuteltool kan maken.

Reacties (126)

Vanwaar de naam Torrentlocker? Is er een relatie met BitTorrent?

Dat is dus ook wat ik me afvraag. Voor zover bij mij bekend worden de encrypted files niet geupload of wat dan ook via welke protocol dan ook.
Ook op de blog van Fox-IT werd daar vorige week niets over gemeld, alleen de naam.

Misschien lezen als Tor Rent Locker Tor Huur Locker

Zou de data dan ook echt ontsleuteld worden? Ik zou verwachten dat er niets gebeurd na het betalen.

Zo niet dan is er een decrypter die kennelijk werkt. Link
De encryptie schijnt niet zo geweldig te zijn?

After going through the list, my jaw about dropped to the floor when I hit XOR. The virus creator of this infection used a simple (and I mean nothing else) XOR algorithm. I found this by taking a encrypted file and XOR'ing its bytes with the good files bytes. This produced a file with a 2MB key buffered with zero's at the bottom. The zeros happen because the infection only encrypts the first 2MB of files. When taking the 2MB key and XOR'ing it with a different encrypted file, it was successfully decrypted.

"The Netherlands was hit with a new spamrun designed to spread a cryptolocker variant known as torrentlocker from Monday October 13th 2014 onwards. Please note that torrentlocker appears to present itself to victims as cryptolocker in all cases. Fox-IT now receives multiple reports of new victims in the Netherlands and we are currently analyzing the new spamrun and malware that was subsequently used.

This blogpost is aimed at providing victims with advice on how to deal with the infections. It contains technical details that will help system administrators trace back the original infection, and contain the spread of the infection as much as possible. We will update this blog post as more information is available."

Lees het hele verhaal

Zo niet dan is er een decrypter die kennelijk werkt. Link
De encryptie schijnt niet zo geweldig te zijn?

[...]

"Edited by Grinler, 11 September 2014 - 09:09 AM."
Ik vermoed dat deze malware van ruim een maand later wel weer een andere variant is en dit niet direct erop van toepassing is.

Dat kan ik bevestigen. Ik had de link op Bleepingcomputers ook gevonden gisteravond en had goede hoop om de data van mijn klant terug te halen.

Helaas, deze versie van het virus is nieuwer en het is nog niet mogelijk om te decoderen.
Ik las dat FoxIT wel bezig is met een versie voor deze variant. Ik hoop dat ze een beetje opschieten

Of juist wel. Als je niet ontsleutelt betalen ze misschien nog een keer, maar die kans is wel erg klein. Als je wel ontsluitelt heb je kans dat ze aan anderen met hetzelfde probleem vertellen dat het werkte.

Of juist wel. Als je niet ontsleutelt betalen ze misschien nog een keer, maar die kans is wel erg klein. Als je wel ontsluitelt heb je kans dat ze aan anderen met hetzelfde probleem vertellen dat het werkte.

De meest sluwe variant is dan om op random momenten met X kans wél te ontsleutelen en 99 van de 100 keer niet.

Of 'ontsleutelen' en dan de schijf vol schrijven met onzin-data.

Dat lijkt me juist heel dom. Dan verliezen mensen het vertrouwen in de criminelen waardoor er minder gauw betaald wordt. Het is voor de criminelen niet nadelig het nog wel te ontsleutelen als er daadwerkelijk betaald is.

Terwijl criminelen over het algemeen juist erg betrouwbaar zijn?

Nee maar ze gooien toch hun eigen glazen in? Nu is het onethische businessmodel gewoon: we kapen je data en als je betaald krijg je dat weer. Als je daar grapjes mee uit gaat halen als crimineel heb je straks geen inkomen meer, want mensen gaan geen geld geven als het niet decrypt wordt.

Daarom hebben de criminelen vaak ook chat support, nederlandstalige pagina's, uitgebreide help en dergelijke. Om het zo laagdrempelig en gebruiksvriendelijk te maken.

[Reactie gewijzigd door MsG op 21 oktober 2014 17:05]

Nee maar als op voorhand al bekend is dat je data toch niet ontsleuteld wordt (er wordt natuurlijk uitgebreid over gesproken op internet)... dan heeft niemand nog reden om te betalen wel?

Dus ja, dat vertrouwen moet er zijn.

Nee, dan betalen mensen dus niet meer. Je moet als crimineel de garantie geven dat je je bestanden terugkrijgt. Wat jij zegt werkt slechts een aantal keer daarna niet meer.

Als mensen al op de hoogte zijn dat de criminelen na betaling de boel niet ontsleutelen dan zijn die mensen dus ook al op de hoogte van het probleem en zullen ze hopelijk niet zo stom zijn om dergelijke zip-bestanden te openen.

Of juist wel. Als je niet ontsleutelt betalen ze misschien nog een keer, maar die kans is wel erg klein. Als je wel ontsluitelt heb je kans dat ze aan anderen met hetzelfde probleem vertellen dat het werkte.

Klopt precies wat je zegt en zo werken deze criminelen ook. Het gemene is wel dat als je betaald hebt en je bestanden zijn weer bruikbaar, dat je dan nog niet van het probleem af bent. Het virus is zo geschreven dat het je bestanden na een aantal weken opnieuw gaat versleutelen zolang het actief is. Je zult het dus ook nog van je pc moeten verwijderen. Gelukkig zijn er inmiddels een aantal gratis virusscanners die dat kunnen.

Nu heb je ook de mensen die serieus overwegen om hun data te laten ontsleutelen in plaats van hun data als verloren te beschouwen. Als bekend wordt dat de bestanden niet ontsleuteld zullen worden zullen een aantal van deze mensen toch niet meer gaan betalen lijkt me.

Zou de data dan ook echt ontsleuteld worden? Ik zou verwachten dat er niets gebeurd na het betalen.

Dat zou je op de eerste plaats denken, maar die criminelen hebben iets verder gedacht dan alleen geld lospeuteren en mensen laten zitten.

Als namelijk bekend zou worden dat je data na betaling alsnog niet ontsleuteld wordt dan zullen er veel minder toekomstige slachtoffers geneigd zijn te betalen.

als je data niet ontsleuteld wordt dan wordt dat snel genoeg bekend en betaald niemand meer

De laatste keer dat ik het bij een bedrijf heb mee gemaakt, werd er een halve Bitcoin gevraagd, met de toenmalige koers 250 euro, daarna werd de decrypter opgestuurd welke de files daadwerkelijk ontsleutelde. Sindsdien is er een nieuwe systeembeheerder die zijn zaakjes wat beter op orde heeft.

En de oude is nog steeds bezig de pek en veren van zijn lijf te verwijderen?

Ik heb ook iemand meegemaakt die dit is overkomen. Gelukkig hadden we een backup, want ALLES was encrypted.

Losgeld aan criminelen betalen gaan we echt niet doen. Snap ook niet dat er mensen zijn die gewoon betalen!

Kleine bedrijfjes die hun IT systeem niet op orde hebben, hebben geen keuze. Die paar 100 euro is dan peanuts vergeleken met de misgelopen inkomsten omdat hun administratie plat ligt.

Zoals je zegt, gelukkig had je een backup.
Moesten dit nu wel belangrijke documenten zijn (betaalbewijzen, facturen, ...) en je had geen backup gemaakt, of erger, je backup hing in het netwerk en is ook ge-encrypteerd?
Lieverbetalen dan economisch erger verlies ermee maken?

kantnotitie: ik weet ook wel dat betalen het slechtste is wat je kan doen, want dan geef je de criminelen die hierachter zitten een mooi duwtje in de rug om dit nogmaals te proberen, want het is lucratief.

Net zoals onderhandelen met terroristen?

Als de encrypte data je meer waard is dan de prijs die voor het decrypten gevraagd wordt, lijkt het me de logische keuze. Hoe immoreel het ook is.

Omdat er ook mensen zijn die geen backups hebben. Vaak zijn dit ook de mensen die het meest kwetsbaar zijn voor dit soort activiteiten.

Ik heb hier sinds vandaag ook ervaring mee. Sinds 11 uur al bezig met het in kaart brengen van alle shares die encrypted zijn. Om 8 uur begon de encryptie, om half 12 hadden we achterhaald welke werkplek de boosdoener was. Schade: Over 8 servers verspreid bijna 100.000 bestanden encrypted..

IK hoop dat je op de server shadow copy aan hebt staan of een goede backup hebt.

Zoek even in het tweakers forum of kijk op bleepingcomputers zoeken naar torrentlocker daar zijn we er druk mee bezig. Er was wel een decrypt mogelijkheid alleen hebben ze de encryptie aangepast.

Succes.

Kleine tip maak een gpo op je netwerk die weigert programma's uit je appdata te runnen.
Oud artikel werkt wel. http://www.computerworld.com/article/2485214/microsoft-windows/cryptolocker-how-to-avoid-getting-infected-and-what-to-do-if-you-are.html

Helpt niet als mensen het zip-bestand eerst opslaan op hun bureaublad of in de documentenmap en daar dan uitpakken en dan de exe starten.

Geen .exe bestanden toestaan op homedir's is ook een optie.

Shadow Copy is het eerste wat dit virus uit probeert te schakelen. Zolang de gebruiker geen admin rechten heeft, werkt het inderdaad goed om bestanden terug te halen.

Heeft de gebruiker wel admin rechten, dan is je shadow copy verdwenen.

Een andere optie is een undelete programma als Recuva. Er wordt een nieuw bestand aangemaakt met dezelfde naam maar dan met extra extensie .encrypted. Het originele bestand is dus verwijdert en kan soms hersteld worden.

Tip: meteen een backup terugzetten en er alles aan doen om dit te voorkomen in de toekomst.

http://www.foolishit.com/vb6-projects/cryptoprevent/

[Reactie gewijzigd door Dannydekr op 21 oktober 2014 16:29]

Sinds 11 uur al bezig met het in kaart brengen van alle shares die encrypted zijn.

Nog een tip: Geef niet elke random werkplek (schrijf)toegang tot alle shares. Perfect voorbeeld van waarom compartimentering nuttig is.

Torrentlocker levert criminelen kwart miljoen euro aan bitcoins op

Leuk dat Fox-It de jaarrekening voor de criminelen alvast opstelt maar zou het niet zinvoller zijn op jacht te gaan naar de criminelen?

Terughackwet is nog in ontwerp en zo. Zelf heb ik niet het idee dat onze politie en de cybercriminelen hetzelfde nivo van kennis en mogelijkheden hebben. En fox-it is geen opsporingsinstantie dus het op zoek gaan naar de criminelen is niet echt nuttig voor hen.

Terughacken hoeft ook niet. Opsporen is genoeg.

Zelf heb ik niet het idee dat onze politie en de cybercriminelen hetzelfde nivo van kennis en mogelijkheden hebben

Ik ga ervanuit dat de politie minstens het zelfde niveau heeft en hun vriendjes bij Fox-IT en de AIVD nog een wat hoger niveau dan de criminelen.

En fox-it is geen opsporingsinstantie dus het op zoek gaan naar de criminelen is niet echt nuttig voor hen.

Maar ze zijn ook geen accountants dus waarom dan de omzet publiceren? De mensen achter Fox-IT hebben wel degelijk een opsporingsachtergrond en het is gewoon het bureau van keuze voor de Nederlandse overheid als het over IT veiligheid gaat, heeft de politie echt hulp nodig bellen dan ze als eerste Fox-It. Vandaar dat ik van hen hogere verwachtingen heb.

politie kan/wil geen eens een telefoon nummer wat door telefoon criminelen word gebruikt blokkeren. en jij denk dat ze een criminele groepering kunnen oprollen wat hoogst waarschijnlijk in een land zit waar de politie helemaal niets kan behalve praten met de lokale politie(die er toch niets aan doen)

[Reactie gewijzigd door loki504 op 21 oktober 2014 17:54]

politie kan/wil geen eens een telefoon nummer wat door telefoon criminelen word gebruikt blokkeren

Waarom zouden ze ook? Dan moeten ze weer een nieuwe procedure doen om het nieuwe nummer van de crimineel af te luisteren. Afluisteren is voor de opsporing beter dan blokkeren.

dat nummer is al bekent bij ze sinds 2006. en kunnen er vrij weinig aan doen omdat ze ergens in India zitten. en afluisteren doen ze al helemaal niet.

Leuk dat Fox-It de jaarrekening voor de criminelen alvast opstelt maar zou het niet zinvoller zijn op jacht te gaan naar de criminelen?

Voor elke variant kan je dan wel een nieuwe jacht openen. En dat is heel lastig want ze kunnen van over de hele wereld komen deze aanvallen. Aandacht voor de omvang van deze zaak lijkt me dus niet verkeerd.

Wat mij betreft kan je beter investeren in bewustwording van deze vorm van malware onder gebruikers en zo de aanvallen minder (financieel) aantrekkelijk te maken. Vergelijk het met een fietsslot. De fietsendief is geneigd om de fietsen met een slecht slot te stelen, omdat dat sneller gaat en minder risico's oplevert. En ja, er zullen altijd "domme" gebruikers blijven die deze malware installeren, maar het hebben van goede backups zou dit al onnodig maken.

Naast voorlichting voor specifiek phishing zou je bijvoorbeeld ook kunnen denken aan meer voorlichting in het algemeen voor cybercriminaliteit. Hoe minder mensen betalen hoe minder lucratief dit wordt voor de daders, des te kleiner kans op herhaling. Bedrijven zoals PostNL die zelf de aanval proberen te voor te lichten is echt kansloos; bijna altijd te laat en meer post-mortem.

Eigenlijk vind ik dat het betalen bij ransomware strafbaar gesteld moet worden. Het helpt simpelweg cybercriminaliteit in de hand en zorgt voor meer gevolgschade (wat voor meer ellende halen ze uit met de opbrengst?).

[Reactie gewijzigd door gertvdijk op 21 oktober 2014 16:19]

Voorlichting ben ik helemaal voor. Maar opsporen moeten we toch zeker niet nalaten.

Eigenlijk vind ik dat het betalen bij ransomware strafbaar gesteld moet worden. Het helpt simpelweg cybercriminaliteit in de hand en zorgt voor meer gevolgschade (wat voor meer ellende halen ze uit met de opbrengst?).

Zeker een interessante gedachte. Maar je brengt iemand die slachtoffer is geworden wel dubbel in de problemen. Die data is dan niet legaal meer terug te krijgen, goede kans dat er betaald wordt en er geen melding gemaakt wordt van de ransomware bij de politie die daardoor gehinderd wordt in de opsporing van de daders. Duivels dilema.

en dan zijn ze zo ver dat ze na x aantal manden weten dat het om een groep in rusland of afrika dan wel india. wat kan de politie dan wel fox-it dan? telefoon providers willen/kunnen geen eens telefoon nummers blocken van bekende telefoon oplichters. als je de politie belt krijg je ja dat nummer kennen wij maar kunnen er helaas niets mee doen. goed dat u er niet op in ben gegaan. fijne dag nog. en dan lees je op internet dat het telefoon nummer als sinds 2006 gebruikt word. dus na 8 jaar hebben ze er niets aan gedaan. en denk niet dat fox-it het bedrijf is ze moet staffen. als je wil dat ze gepakt worden moet je eerder richting van anonymous moet kijken.

Spijtig dat mensen hiervoor betalen, dat maakt het namelijk lucratief en dat zorgt voor steeds nieuwe cryptolockers. Enigszins begrijp ik het wel als je echt hele op dat moment belangrijke bestanden hebt die je niet geback-upt heb dat je het als enige uitweg ziet.

In de praktijk is het volgens mij hetzelfde volk dat "Virusscanners" aanschafte omdat ze in malware trapte die beweerde dat dit nodig was. Ik heb meerdere malen meegemaakt dat mensen dure pakketten aanschaften omdat 1 of ander scam-programma dat suggereerde als enige oplossing om op te kunnen starten (de voorloper van de cryptolockers als ware). Verder waren dat tamelijk intelligente mensen, maar compleet onwetend wanneer het op PC's aankomt.

[Reactie gewijzigd door Dannydekr op 21 oktober 2014 16:28]

Altijd leuk, die virussen/malwares die zich voordoen als virusscanners of malware removers. Ik kom ze tegenwoordig op 4 van de 5 pc's tegen -_- Men leest tegenwoordig niets meer en klikt maar van alles aan. En ik maar pc's opschonen -_-

Het zijn vooral de populaire programma's die het heel lastig maken. Irritante vinkjes van "Don't accept the offer" en dan dik gedrukt en groen "Accept the offer" op default zetten. Hierdoor lijkt het dat je gewoon akkoord gaat met een standaardprocedure. Je moet soms 5-10 aanbiedingen afslaan en heel goed lezen of je het nu juist wel of niet accepteert! Ikzelf vind het ook irritant, je leest er best snel overheen. 1x misklikken is je PC vol met ranzige spy/malware.

De irritantste zijn diegene die dan 2 opties geven. Accept en Don't accept. Alleen ziet die don't accept eruit alsof je er niet op kan klikken, maar stiekem kan dat wel.

Gelukkig heb je weer software die het merendeel automatisch uitklikken, maar het is erg zat dat die software nodig is.

Ik vind de ergste diegene die meteen met een licentie overeenkomt komen, het blijkt dan een licentie overeenkomst te zijn van een ander pakket wat dan meteen even mee geïnstalleerd wordt.

Het is hetzelfde verhaal als jouw vriendin wordt gegijzeld. Ga je wel of niet betalen? Als niemand meer betaalt zouden er geen mensen meer gegijzeld worden, tenminste dat is het idee, maar jij bent wel je vriendin kwijt.

wat een vergelijking weer.. tuurlijk zullen ze het blijven doen. linda de mol word ook nog steeds bedreigt ondanks dat ze geen geld geven.

Ik snap het ook niet, maar het gebeurd vaak genoeg om lonend te zijn voor deze criminelen.
Mijn ouders snappen bijv. ook totaal niets van computers, die zou je ook genoeg wijs kunnen maken.
En zo zijn er honderdduizenden nederlanders die hier gevoelig voor zijn, en dat is dan alleen nog maar ons kleine landje.

Maar zulen je ouders dan zulke waardevolle bestanden op de computer hebben staan die ze niet kunnen missen? Ws heeft 1 van de kinderen er wel op gehamerd om een back up te maken van echt belangrijke bestanden.

Alsof de kinderen zelf altijd netjes backups maken. De mensen kunnen wel hun vakantiefoto's op de computer hebben staan en wat andere bestanden die ze toch liever niet kwijt zijn. Je doet nu net alsof mensen die niet zo goed om kunnen gaan met de computer niets van waarde op de schijf hebben staan. Zoals al is gebleken hoef je niet een echte digibeet te zijn wil je hier in trappen. Er zal dus genoeg op hun computers staan.

Ransomeware is echt duivels, mijn broertje heeft hier ook last van gehad toen je systeem gehijacked werd met het verzoek van "de politie" om 100 euro over te maken voor de geleden schade van illegale mp3 downloads.

Het was een hels karwij om dit weg te halen.. ik moet wel zeggen dat hij erg goed in elkaar zat.. een leek had nooit aan dit bericht getwijfeld. Mijn broertje kneep hem ook een beetje en overwoog te betalen voordat hij mij belde.. nerveus omdat hij natuurlijk best wel een downloadje hier en daar doet. dus deze ransomeware triggert wel een beetje je eigen schuldgevoel. dat motiveert mensen ook om toch te twijfelen/geloven en uiteindelijk toch te betalen in dit soort oplichtingspraktijken. Helemaal omdat het systeem gewoon totaal onbruikbaar is.

[Reactie gewijzigd door basmuys op 21 oktober 2014 15:57]

Ransomeware is echt duivels, mijn broertje heeft hier ook last van gehad toen je systeem gehijacked werd met het verzoek van "de politie" om 100 euro over te maken voor de geleden schade van illegale mp3 downloads.

De volgende stap wordt natuurlijk ransomware die de PC's van slachtoffers gebruikt om (ongemerkt) kinderporno op te slaan en dan te dreigen met aangifte bij de politie als je niet betaalt.

Wow dat is wel een beetje scary en heel eerlijk zou ik daar never nooit op komen!!
(ik weet even niet of dat goed of slecht is )
dat is wel heel persoonlijk zo'n gijzeling met mogelijk wel "échte" gevolgen. dat is wel even next level over misschien je systeem dan maar een format geven.

[Reactie gewijzigd door basmuys op 21 oktober 2014 16:20]

denk dat het wel meevalt hoor. ja er staat kinder porno op je computer. maar de politie vind ook ransomware op je computer en je isp heeft totaal niets requests van wat ook maar iets met kp te maken heeft. dan is het uiteraard niet zo moeilijk om er achter te komen dat het om criminaliteit gaat.

Als je kunt aantonen dat je gegijzeld bent met kinderporno dan kun je dat aan de politie laten zien. Waatschijnlijk ben je ook dan niet het enige geval dus wordt het al snel duidelijk dat er ook hier criminelen aan het werk zijn.

Als je kunt aantonen dat je gegijzeld bent met kinderporno dan kun je dat aan de politie laten zien. Waatschijnlijk ben je ook dan niet het enige geval dus wordt het al snel duidelijk dat er ook hier criminelen aan het werk zijn.

Waardoor dat ook weer door pedofielen gebruikt kan worden om zich in te dekken. "Kinderporno? Kijk maar, is niet mijn schuld, ik ben gehackt!"

Je kan immers ook bewust dat soort troep op je PC zetten. Mes snijdt aan twee kanten.

Hoe komt dit langs AV pakketten?

Hoe komt dit langs AV pakketten?

Omdat AV voornamelijk reactief is op specifieke signatures en niet bepaald preventief.
En ook, zoals in het voorbeeld van lolgast is het misschien wel net die ene client in het netwerk van honderden PCs die zijn virusdefinities nog niet had bijgewerkt maar ondertussen wel alle shares encrypt.

Nou dan is de vraag eigenlijk, waarom zijn AV-pakketten niet preventief?
Toch vind ik het wel raar want als er op mijn computer een verdachte bijlage nog het spamfilter heeft weten te ontwijken grijpt de virusscanner 'm alsnog in zijn nek. Dus waarom dat hier niet gebeurd is? Of hadden de slachtoffers geen scanners?

Nu rijst de vraag, of de slachtoffers die hebben betaald, nog wel verwachte informatie krijgen om hun bestanden weer toegankelijk te krijgen. Want in de meeste gevallen, hoorden de meeste slachtoffers van vergelijkbare praktijken, na betaling van het losgeld nooit meer iets van de daders. Hier is ongetwijfeld maanden aan voorbereiding aan vooraf gegaan, En die bitcoins zijn natuurlijk aan toonder, en niet te traceren. Misschien heeft het wel te maken met die hack, waarbij tientallen wachtwoorden van e-mail adressen, zouden zijn buitgemaakt, vele bezitters van de e-mail adressen hebben allemaal zo'n nep mail ontvangen, Dat verklaard het hoge aantal slachtoffers. Die de ontvangen mail hebben geopend

[Reactie gewijzigd door Astrix op 21 oktober 2014 16:03]

Synolocker decrypteerde effectief de bestanden na betaling. Ik zou zelfs denken dat de meesten dat doen, anders verspreid het nieuws dat er niets wordt gedecrypteerd zich zeer snel en betaalt niemand meer.