Fortune 500-bedrijf Emcor, dat wereldwijd systemen voor de vitale infrastructuur levert, is vorige maand getroffen door de Ryuk-ransomware. Dat heeft het bedrijf bij de presentatie van de kwartaal- en jaarcijfers bekendgemaakt (pdf1, pdf2). De infectie werd ontdekt op zaterdag 15 februari.

Na ontdekking van de aanval besloot Emcor, dat vorig jaar een geschatte omzet van 9 miljard dollar had en meer dan 33.000 medewerkers telt, bepaalde it-systemen uit te schakelen. Dit moest verdere verspreiding van de ransomware voorkomen. Twee weken later waren sommige systemen nog steeds offline. Volgens het bedrijf zijn er geen aanwijzingen dat de aanvallers klant- of personeelsgegevens hebben gestolen. Hoeveel de aanval het bedrijf heeft gekost is nog onduidelijk. Emcor meldt dat het de kosten in de prognose voor 2020 heeft meegenomen. Verdere details over de aanval zijn niet gegeven.

Onlangs liet de FBI nog weten dat Ryuk de meest succesvolle ransomware van de afgelopen jaren is geweest. De Amerikaanse opsporingsdienst baseert zich op de bitcoinwallets waar slachtoffers het losgeld voor het ontsleutelen van bestanden naar toe moesten overmaken. Van 1 oktober 2013 tot 7 november 2019 ging het om een bedrag van meer dan 144 miljoen dollar die door slachtoffers van allerlei ransomware werd betaald. 61 miljoen dollar van dat bedrag was afkomstig van Ryuk-slachtoffers.

De Ryuk-ransomware verschilt van veel andere ransomware doordat aanvallers de malware handmatig installeren. De aanvallers proberen ook zoveel mogelijk systemen binnen een getroffen organisatie te infecteren en aanwezige back-ups te verwijderen. Vervolgens worden hoge bedragen gevraagd voor het ontsleutelen van getroffen systemen. Ryuk wordt onder andere geïnstalleerd via de Emotet- en Trickbot-malware die via kwaadaardige Microsoft Office-macro's worden verspreid.

De Britse beveiligingsonderzoeker Kevin Beaumont laat op Twitter weten dat ook de internationale juridische dienstverlener Epiq door de Ryuk-ransomware is getroffen.