Een groep criminelen die achter de Hello Kitty/FiveHands-ransomware zit maakt gebruik van ddos-aanvallen om slachtoffers verder onder druk te zetten, zo stelt de FBI (pdf). De aanvallers weten via gecompromitteerde inloggegevens en bekende kwetsbaarheden in producten van SonicWall toegang tot bedrijven te krijgen.

Vervolgens worden publiek beschikbare penetratietesttools, zoals Cobalt Strike, Mandiants Commando of PowerShell Empire, gebruikt om zich door het netwerk te bewegen en verdere rechten te krijgen. Via een programma als rclone stelen de aanvallers aanwezige data, waarna gegevens op het netwerk door de ransomware worden versleuteld.

Wanneer slachtoffers niet snel genoeg reageren of het gevraagde losgeld niet betalen voeren de aanvallers een ddos-aanval uit op de website van het aangevallen bedrijf. Ook dreigen de aanvallers gestolen data openbaar te maken of aan een datahandelaar door te verkopen.

In de nu uitgegeven waarschuwing geeft de FBI verschillende standaard beveiligingsadviezen voor het voorkomen van ransomware-infecties en het omgaan met besmette systemen. Er wordt echter ook aangeraden om berichtgeving over gelekte vpn-wachtwoorden in de gaten te houden en wanneer van toepassing die te veranderen.