De CryptoWall-ransomware die voor het eerst in februari werd gesignaleerd heeft de afgelopen maanden 625.000 computers besmet en 5,25 miljard bestanden op de geïnfecteerde machines versleuteld. Slachtoffers moeten vervolgens een bedrag betalen om weer toegang tot hun bestanden te krijgen.

Als er niet op tijd wordt betaald, wordt het gevraagde "losgeld" van 500 euro uiteindelijk naar 1.000 euro verdubbeld, hoewel het bedrag nog verder kan oplopen. CryptoWall werd eerst door de ontwikkelaars CryptoDefense genoemd, maar in mei werd de naam naar CryptoWall veranderd. Hoewel de ransomware en onderliggende infrastructuur niet zo geraffineerd is als die van de beruchte CryptoLocker-ransomware, hebben de ontwikkelaars toch een groot aantal computers weten te raken, zo stellen onderzoekers van Dell SecureWorks.

Verspreiding

CryptoWall verspreidt zich via drive-by downloads, waarbij er misbruik van bekende lekken wordt gemaakt die niet door internetgebruikers zijn gepatcht, en e-mailbijlagen. Sinds eind maart zou de ransomware voornamelijk e-mail voor de verspreiding gebruiken. De e-mails worden verstuurd via het Cutwail-spambotnet en bevatten een bijlage die meestal de Upatre-downloader bevat. Deze downloader downloadt vervolgens vanaf een gehackte website CryptoWall en installeert die op de computer.

Eind mei werden er ook e-mails gezien die een link bevatten en naar een website wijzen waar via drive-by downloads wordt geprobeerd om de ransomware te installeren. Onderzoekers van Dell SecureWorks wisten toegang tot de infrastructuur van CryptoWall te krijgen en ontdekten dat de malware 625.000 computers had besmet en 5,25 miljard bestanden had versleuteld. Naast de harde schijf van de computer kan CryptoWall ook bestanden op verwijderbare media en netwerkschijven versleutelen.

Losgeld

De meeste infecties bevinden zich in de Verenigde Staten, Canada, Frankrijk, Duitsland, India, Vietnam en Australië. Volgens de onderzoekers zouden de makers van CryptoWall meer dan 1,1 miljoen dollar via de ransomware hebben opgehaald, betaald door 1683 slachtoffers. Eén slachtoffer betaalde zelfs 10.000 dollar om de bestanden terug te krijgen. In werd door 0,27% van de slachtoffers het gevraagde losgeld betaald.

Hoewel CryptoWall bijna 100.000 computers meer dan CryptoLocker infecteerde, wist het slechts 37% van het bedrag binnen te halen dat door CrytoLocker werd binnengehaald. De onderzoekers wijzen erop dat CryptoWall alleen bitcoin-betalingen accepteert, wat voor veel slachtoffers lastig te betalen is, terwijl CryptoLocker ook via Moneypak vouchers kon worden betaald. Daarnaast is het losgeld dat CryptoWall vraagt ook veel hoger dan dat van CryptoLocker. "Dat heeft waarschijnlijk aan het matige succes van deze malware-familie bijgedragen", aldus de onderzoekers.

Om infectie door CryptoWall te voorkomen krijgen organisaties het advies om uitvoerbare bestanden en archiefbestanden, zoals ZIP, met uitvoerbare bestanden, te blokkeren, software up-to-date te houden en de toegang en rechten op gedeelde netwerkschijven te herzien. Als laatste wordt geadviseerd om regelmatig back-ups te maken.