Ransomware

Το ransomware είναι ένα είδος κακόβουλου λογισμικού που απειλεί να δημοσιοποιήσει τα προσωπικά δεδομένα του θύματος ή να διακόψει την πρόσβασή του θύματος σε αυτά, μέχρι να δοθούν λύτρα από το θύμα. Αν και τα απλά ransomware προγράμματα μπορεί να κλειδώσουν ένα σύστημα με τέτοιον τρόπο που δεν είναι δύσκολο να ξεκλειδωθεί από ένα άτομο έμπειρο στον τομέα, τα πιο εξελιγμένα προγράμματα του είδους χρησιμοποιούν τεχνικές που συνδυάζουν την κρυπτογραφία με την κακόβουλη σχεδίαση λογισμικού (cryptoviral extortion), ώστε να πετύχουν την κρυπτογράφηση των αρχείων του θύματος, καθιστώντας τα μη προσβάσιμα και ζητώντας λύτρα για την αποκρυπτογράφησή τους. Σε μια καταλλήλως υλοποιημένη επίθεση αυτού του είδους η ανάκτηση των αρχείων χωρίς το κλειδί αποκρυπτογράφησης αποτελεί ένα ιδιαίτερα δυσεπίλυτο πρόβλημα και καθίσταται εξαιρετικά δύσκολος ο εντοπισμός των ψηφιακών νομισμάτων που χρησιμοποιήθηκαν ως λύτρα για τη συναλλαγή, όπως κρυπτονομίσματα, και για τον λόγο αυτό υπάρχει μεγάλη δυσκολία στον εντοπισμό και τη σύλληψη των δραστών.
Οι επιθέσεις ransomware υλοποιούνται συνήθως με την χρήση ενός ιού Trojan ο οποίος φαίνεται σαν ένα καλόβουλο αρχείο επισυναπτόμενο συνήθως σε κάποιο μήνυμα ηλεκτρονικού ταχυδρομείου και ο χρήστης παραπλανάται και το κατεβάζει ή το τρέχει στον υπολογιστή του. Ωστόσο υπάρχουν και περιπτώσεις ιών, όπως το «WannaCry worm», οι οποίοι μεταβιβάζονται από υπολογιστή σε υπολογιστή χωρίς κάποια ενέργεια του χρήστη.
Από το 2012 οι απάτες με χρήση ransomware άρχισαν να εξαπλώνονται παγκοσμίως. Τον Ιούνιο του 2013, το McAfee έβγαλε στη δημοσιότητα δεδομένα τα οποία έδειχναν ότι οι περιπτώσεις επιθέσεων ransomware είχαν διπλασιαστεί εκείνο το τρίμηνο συγκριτικά με το αντίστοιχο τρίμηνο της προηγούμενης χρονιάς. Το CryptoLocker παρουσίασε ιδιαίτερα μεγάλη επιτυχία, αποσπώντας το εκτιμώμενο ποσό των 3 εκατομμυρίων δολαρίων (USD) προτού οδηγηθεί σε καταστολή από τις αρμόδιες αρχές. Ακόμα, εκτιμάται από το Ομοσπονδιακό Γραφείο Ερευνών (FBI) ότι οι εισπράξεις του CryptoWall ανέρχονταν στα 18 εκατομμύρια δολάρια (USD) μέχρι τον Ιούνιο του 2015.

Ransomware με κρυπτογράφηση

Η πρώτη γνωστή επίθεση extortion, το «AIDS Trojan» που δημιουργήθηκε από τον Joseph Popp το 1989, είχε μια σχεδιαστική βλάβη τόσο σοβαρή που δεν ήταν αναγκαίο να πληρωθούν τα λύτρα. Το βασικό στέλεχος της εφαρμογής έκρυβε τα αρχεία στον σκληρό δίσκο και κρυπτογραφούσε μόνο το όνομά τους, προβάλλοντας ένα μήνυμα το οποίο ισχυριζόταν ότι η άδεια χρήσης για ένα συγκεκριμένο λογισμικό έχει λήξει. Από τον χρήστη ζητούνταν να πληρώσει 189 δολάρια (USD) στην «PC Cyborg Corporation» ώστε να αποκτήσει ένα εργαλείο ανάκτησης, παρόλο που το κλειδί αποκρυπτογράφησης μπορούσε να αποσπαστεί από τον κώδικα του Trojan. Ο Trojan αυτός έγινε γνωστός και ως «PC Cyborg». Ο Popp κρίθηκε διανοητικά ακατάλληλος να δικαστεί για τις πράξεις του, αλλά υποσχέθηκε να δωρίσει τα κέρδη του από το κακόβουλο λογισμικό για την ενίσχυση της έρευνας για την αντιμετώπιση του AIDS.
Η ιδέα της κατάχρησης ανώνυμων συστημάτων μετρητών χρημάτων για την ασφαλή συλλογή λύτρων από την απαγωγή ανθρώπων εισήχθη το 1992 από τον Sebastian von Solms και τον David Naccache. Η μέθοδος συλλογής ηλεκτρονικών χρημάτων επίσης προτάθηκε για επιθέσεις τύπου cryptoviral extortion. Στο σενάριο von Solms-Naccache μια δημοσίευση σε εφημερίδα χρησιμοποιήθηκε (αφού τα χρηματικά βιβλία bitcoin δεν υπήρχαν όταν η μέθοδος πρωτοδιατυπώθηκε).
Η ιδέα της χρήσης δημοσίων κλειδιών κρυπτογράφησης για επιθέσεις «απαγωγής» δεδομένων εισήχθη το 1996 από τον Adam L. Young και τον Moti Yung. Οι Young και Yung κριτίκαραν τον αποτυχημένο AIDS Trojan, ο οποίος βασιζόταν μόνο στην συμμετρική κρυπτογραφία, και η ζωτική αδυναμία του οποίου ήταν ότι υπήρχε η δυνατότητα απόκτησης του κλειδιού αποκρυπτογράφησης μέσα από τον ίδιο τον Trojan. Οι ίδιοι υλοποίησαν ένα πειραματικό σενάριο κρυπτο-ιού σε ένα Macintosh SE/30 ο οποίος χρησιμοποιούσε RSA και το Tiny Encryption Algorithm (TEA) για να πετύχει υβριδική κρυπτογράφηση των δεδομένων του θύματος. Εφόσον χρησιμοποιήθηκαν δημόσια κλειδιά κρυπτογράφησης, ο κρυπτο-ιός περιείχε μόνο το κλειδί κρυπτογράφησης. Ο θύτης κρατούσε κρυφό το αντίστοιχο ιδιωτικό κλειδί αποκρυπτογράφησης. Το πρωτότυπο πείραμα του κρυπτο-ιού των Young και Yung έβαζε το θύμα να στείλει το ασύμμετρο κρυπτογραφικό κείμενο στον θύτη, ο οποίος το αποκρυπτογραφούσε και επέστρεφε το συμμετρικό κλειδί αποκρυπτογράφησης στο θύμα δεχόμενος πρώτα μια αμοιβή. Πολύ πριν εμφανιστεί το ηλεκτρονικό νόμισμα οι Young και Yung διατύπωσαν την άποψη ότι το ηλεκτρονικό νόμισμα μπορεί να δεσμευθεί και αυτό μέσω της κρυπτογραφίας, υποστηρίζοντας ότι «ο συγγραφέας του ιού μπορεί να δεσμεύσει αποτελεσματικά όλο το ποσό ως λύτρα μέχρι να δοθεί το μισό σε αυτόν. Ακόμη και αν το ηλεκτρονικό νόμισμα είχε προηγουμένως κρυπτογραφηθεί από τον χρήστη, είναι άχρηστο για τον χρήστη αν επανακρυπτογραφηθεί από τον κρυπτο-ιό». Αναφέρθηκαν στις επιθέσεις αυτές ως «cryptoviral extortion», μια φανερή επίθεση η οποία είναι μέρος μια μεγαλύτερης κλάσης επιθέσεων σε έναν τομέα που ονομάστηκε cryptovirology, η οποία περιλαμβάνει τόσο φανερές όσο και συγκαλυμμένες επιθέσεις. Το πρωτόκολλο του cryptoviral extortion από την βεβιασμένη συμβιωτική σχέση ανάμεσα στον facehugger του H. R. Giger και τον οικοδεσπότη του στην ταινία Alien.
Παραδείγματα από εκβιασμούς με ransomware ήρθαν στην επιφάνεια τον Μάιο του 2005. Μέχρι τα μέσα του 2006, Trojans όπως οι Gpcode, TROJ.RANSOM.A, Archiveus, Krotten, Cryzip and MayArchive ξεκίνησαν να υλοποιούν πιο σύνθετα μοντέλα κρυπτογράφησης RSA, με όλο και μεγαλύτερα μεγέθη κλειδιών. Το Gpcode.AG, το οποίο εντοπίσθηκε τον Ιούνιο του 2006, ήταν κρυπτογραφημένο με ένα δημόσιο κλειδί RSA των 660-bit. Τον Ιούνιο του 2008 εντοπίσθηκε μια τροποποιημένη έκδοσή του γνωστή ως Gpcode.AK. Με τη χρήση ενός κλειδιού RSA των 1024-bit, θεωρούνταν ικανοποιητικά μεγάλο ώστε να καταστεί πρακτικά αδύνατο το σπάσιμο του κλειδιού χωρίς μια διανεμημένη προσπάθεια.
Το ransomware με χρήση κρυπτογραφίας επανήλθε στην επικαιρότητα στα τέλη του 2013 με τη διάδοση του CryptoLocker – το οποίο χρησιμοποιούσε την πλατφόρμα ψηφιακού νομίσματος Bitcoin για να συλλέξει τα λύτρα. Τον Δεκέμβριο του 2013, η ZDNet υπολόγισε ότι με βάση τα στοιχεία πάνω στις συναλλαγές με Bitcoin στο χρονικό διάστημα από 15 Οκτωβρίου μέχρι 18 Δεκεμβρίου, οι χειριστές του CryptoLocker απέκτησαν περίπου 27 εκατομμύρια δολάρια (USD) από τα θύματά τους. Η τεχνική του CryptoLocker μέσα στους επόμενους μήνες αντιγράφηκε ευρέως, συμπεριλαμβανομένων των CryptoLocker 2.0 (το οποίο δεν συσχετιζόταν με το CryptoLocker), CryptoDefense (το οποίο αρχικά είχε μια μεγάλη αδυναμία στον σχεδιασμό και αποθήκευε το ιδιωτικό κλειδί στο σύστημα του θύματος σε μία περιοχή του συστήματος που ήταν προσβάσιμη από τον χρήστη, λόγω των ενσωματωμένων στα Windows API τα οποία χρησιμοποιούσε για την κρυπτογράφηση), και τον Αύγουστο του 2014 ανακαλύφθηκε ένας Trojan ο οποίος είχε παραχθεί από την Synology και ο οποίος στόχευε συσκευές αποθήκευσης που ήταν συνδεδεμένες σε δίκτυο. Τον Ιανουάριο του 2015, αναφέρθηκε ότι επιθέσεις τύπου ransomware ενάντια σε ιστοσελίδες προέκυψαν μέσω hacking και μέσω κατάλληλα σχεδιασμένου ransomware για web servers βασισμένους σε Linux.
Το Κέντρο Προστασίας από Malware της Microsoft παρατήρησε μια τάση απομάκρυνσης από τα WSF αρχεία και προτίμησης των αρχείων LNK και του PowerShell scripting. Τα LNK αρχεία συντομεύσεων εγκαθιστούν το Locky ransomware με αυτόματο τρόπο και δεν στηρίζονται στο παραδοσιακό κατέβασμα των WSF αρχείων από τους χρήστες – και όλα αυτά καθίστανται εφικτά λόγω της γενικής εφαρμογής PowerShell των Windows. Δυστυχώς, οι εγκληματίες στον κυβερνοχώρο είχαν την δυνατότητα αξιοποίησης του PowerShell για τις επιθέσεις τους για πολλά χρόνια. Σε μια πρόσφατη αναφορά, η εφαρμογή του PowerShell φάνηκε ότι εμπλεκόταν σχεδόν στο 40% των συμβάντων ασφαλείας. Παρόλο που οι θύτες έβρισκαν για χρόνια αδυναμίες στο λειτουργικό σύστημα των Windows, είναι σαφές ότι το PowerShell scripting είναι προβληματικό.
Κάποιες υλοποιήσεις ransomware έχουν χρησιμοποιήσει proxies μαζί με κρυφές Tor υπηρεσίες για να συνδεθούν στους server ελέγχου, αυξάνοντας με τον τρόπο αυτό την δυσκολία εντοπισμού της ακριβούς τοποθεσίας των εγκληματιών. Ακόμα, πωλητές στο dark web έχουν ξεκινήσει να προσφέρουν την τεχνολογία αυτή ως υπηρεσία.
Η Symantec κατατάσσει το ransomware ως την πιο επικίνδυνη απειλή στον κυβερνοχώρο.

Ransomware χωρίς κρυπτογράφηση

Τον Αύγουστο του 2010, οι Ρωσικές αρχές συνέλαβαν εννιά πρόσωπα που συνδέονταν με έναν ransomware Trojan γνωστό με το όνομα WinLock. Αντίθετα με τους προηγούμενους Gpcode Trojan, ο WinLock δεν χρησιμοποιούσε κρυπτογράφηση. Αντί αυτού, ο WinLock προέβαλε πορνογραφικές φωτογραφίες και καθιστούσε πρακτικά αδύνατη την πρόσβαση του χρήστη στο σύστημα, ζητώντας από τους χρήστες να στείλουν ένα SMS με ειδική χρέωση (premium-rate SMS) (το οποίο κόστιζε περίπου 10 δολάρια) για να παραλάβουν έναν κωδικό που θα ξεκλείδωνε το σύστημά τους. Η συγκεκριμένη απάτη έπληξε πολλούς χρήστες στην Ρωσία και τις γειτονικές χώρες έχοντας συνολικό κέρδος πάνω από 16 εκατομμύρια δολάρια (USD).
Το 2011 ένας ransomware Trojan μιμούνταν την ειδοποίηση ενεργοποίησης προϊόντων των Windows (Windows Product Activation) και ενημέρωνε τους χρήστες ότι η εγκατάσταση των Windows έπρεπε να ξαναγίνει στο σύστημά τους διότι «είχαν πέσει θύματα απάτης». Προσφερόταν η δυνατότητα online ενεργοποίησης (όμοια με την πραγματική διαδικασία ενεργοποίησης των Windows), αλλά δεν ήταν διαθέσιμη, και απαιτούσε από τον χρήστη να καλέσει ένα από τα 6 διαθέσιμα παγκόσμια νούμερα για να εισάγει έναν εξαψήφιο κωδικό. Παρόλο που η εφαρμογή ισχυριζόταν ότι η κλήση ήταν δωρεάν, περνούσε μέσα από έναν απομακρυσμένο πάροχο σε μια χώρα με πολύ υψηλές χρεώσεις για παγκόσμιες κλήσεις, ο οποίος έθετε την κλήση σε αναμονή, προκαλώντας σημαντικές χρεώσεις στον χρήστη.
Τον Φεβρουάριο του 2013 εμφανίστηκε ένας ransomware Trojan βασισμένος στο πακέτο Stamp.EK. Το κακόβουλο αυτό λογισμικό διανεμόταν μέσω σελίδων που φιλοξενούνταν από τις υπηρεσίες SourceForge και GitHub και ισχυριζόταν ότι προσέφερε «πλαστές γυμνές φωτογραφίες» διάσημων προσώπων. Τον Ιούλιο του 2013 εμφανίστηκε ένας άλλος ransomware Trojan για OS X, ο οποίος προέβαλε μια ιστοσελίδα που κατηγορούσε τον χρήστη για κατέβασμα πορνογραφικού υλικού. Σε αντίθεση με το αντίστοιχο λογισμικό για Windows, δεν εμπόδιζε την χρήση όλου του υπολογιστή αλλά παρενέβαινε στην ομαλή λειτουργία του φυλλομετρητή (browser) εμποδίζοντας το κλείσιμο της σελίδας με κανονικό τρόπο.
Τον Ιούλιο του 2013, ένας 21χρονος από την Βιρτζίνια των Η.Π.Α, του οποίου ο υπολογιστής συμπτωματικά είχε αποθηκευμένες πορνογραφικές φωτογραφίες ανήλικων κοριτσιών με τις οποίες είχε έρθει σε σεξουαλική επαφή, έπεσε θύμα λογισμικού ransomware το οποίο προέβαλε ένα πλαστό μήνυμα από το FBI κατηγορώντας τον για κατοχή παιδικής πορνογραφίας. Ο ίδιος στη συνέχεια παραδόθηκε στην αστυνομία νομίζοντας ότι η ειδοποίηση προερχόταν όντως από το FBI. Οι αρχές έψαξαν και βρήκαν τα συγκεκριμένα αρχεία και ο άντρας αυτός καταδικάστηκε για σεξουαλική κακοποίηση παιδιών και για κατοχή παιδικής πορνογραφίας.

Leakware (ή αλλιώς Doxware)

Το αντίστροφο του ransomware είναι μία επίθεση cryptovirology, η οποία εφευρέθηκε από τον Adam L. Young, η οποία απειλεί να δημοσιεύσει κλεμμένες πληροφορίες από τον υπολογιστή του θύματος αντί να εμποδίζει την πρόσβαση του θύματος σε αυτόν. Σε μία επίθεση leakware, το κακόβουλο πρόγραμμα στέλνει τις ευαίσθητες πληροφορίες του χρήστη απευθείας στον θύτη ή σε μία απομακρυσμένη θέση ελεγχόμενη από τον θύτη. Κατόπιν ο θύτης απειλεί να δημοσιοποιήσει τα δεδομένα του θύματος αν δεν δοθούν λύτρα. Η επίθεση αυτή παρουσιάστηκε στο West Point το 2003 και συνοψιζόταν στο βιβλίο Malicious Cryptography. Η επίθεση αυτού του είδους είναι συνυφασμένη με τη θεωρία παιγνίων και αρχικά εντασσόταν στην κατηγορία «non-zero sum» παιχνιδιών και βιώσιμου κακόβουλου λογισμικού. Η επίθεση μπορεί να αποσπάσει χρήματα στην περίπτωση που το κακόβουλο λογισμικό αποκτήσει πρόσβαση σε πληροφορίες που μπορεί να βλάψουν το θύμα, είτε αυτό είναι ένας χρήστης είτε ένας οργανισμός (π.χ. η ζημιά στη φήμη που θα προέκυπτε από την δημοσιοποίηση των πληροφοριών αποτελεί  αποδεικτικό στοιχείο ότι η επίθεση ήταν επιτυχής).

Ransomware σε κινητές συσκευές

Λόγω της μεγάλης δημοτικότητας των ransomware σε πλατφόρμες PC, το ransomware άρχισε να απευθύνεται και σε κινητές συσκευές. Συνήθως, το βασικό στέλεχος μιας εφαρμογής ransomware για κινητές συσκευές μπλοκάρει την κινητή συσκευή και δεν επιτρέπει την πρόσβαση σε αυτό. Η κρυπτογράφηση των δεδομένων του θύματος δεν έχει ιδιαίτερο νόημα καθώς τις περισσότερες φορές μπορούν εύκολα να ανακτηθούν μέσω online συγχρονισμού. Αυτός ο τύπος ransomware απευθύνεται κατά κύριο λόγο στην πλατφόρμα Android καθώς αυτή επιτρέπει την εγκατάσταση εφαρμογών από άγνωστες πηγές. Το βασικό στέλεχος της κακόβουλης εφαρμογής συνήθως διανέμεται ως ένα APK αρχείο που εγκαθίσταται στο σύστημα από έναν ανύποπτο χρήστη. Κατά την λειτουργία του προσπαθεί να προβάλει ένα μήνυμα πάνω από κάθε εφαρμογή που τρέχει στο σύστημα. Άλλες εφαρμογές ransomware του ίδιου είδους λειτουργούν παραπλανώντας τον χρήστη να δώσει «άδεια διαχειριστή» στην εφαρμογή, χωρίς να το δηλώνει ξεκάθαρα (clickjacking), και αποκτά με τον τρόπο αυτό βαθύτερη πρόσβαση στο σύστημα.
Για συσκευές iOS έχουν εφαρμοστεί διαφορετικές τακτικές, όπως η εκμετάλλευση λογαριασμών iCloud και η χρήση της λειτουργίας Find My iPhone με σκοπό το κλείδωμα της συσκευής. Στην έκδοση 10.3 του iOS , η Apple διόρθωσε ένα bug που αφορούσε την διαχείριση Javascript παραθύρων pop-up στον Safari, τα οποία είχαν χρησιμοποιηθεί κακόβουλα από ιστοσελίδες ransomware.

Reveton

Το 2012, άρχισε να κυκλοφορεί ένας σοβαρός ransomware Trojan γνωστός ως Reveton. Βασισμένος στον Citadel Trojan (που και ο ίδιος είναι βασισμένος στον Zeus Trojan), είχε ένα βασικό στέλεχος που προέβαλε μια προειδοποίηση κατά πάσα πιθανότητα από κάποια υπηρεσία επιβολής του νόμου ισχυριζόμενο ότι ο υπολογιστής έχει χρησιμοποιηθεί για παράνομες δραστηριότητες, όπως η λήψη πειρατικού λογισμικού χωρίς άδεια ή παιδικής πορνογραφίας. Λόγω της λειτουργίας του αυτής, συχνά αναφέρεται και ως «Trojan Αστυνομία» (Police Trojan). Η προειδοποίηση ενημερώνει τον χρήστη ότι για να ξεκλειδώσει το σύστημα πρέπει αυτός να πληρώσει ένα πρόστιμο χρησιμοποιώντας μια ανώνυμη προπληρωμένη κάρτα όπως Ukash ή Paysafecard. Για να γίνουν πιο πειστικοί ότι ο υπολογιστής παρακολουθείται από τις αρχές, στην οθόνη εμφανιζόταν επίσης και η IP διεύθυνση του υπολογιστή, ενώ κάποιες εκδόσεις προέβαλαν στην οθόνη και πλάνα από την webcam του θύματος για να δώσουν την ψευδαίσθηση ότι οι κινήσεις του καταγράφονται μέσω της webcam του.
Το Reveton ξεκίνησε να εξαπλώνεται σε διάφορες Ευρωπαϊκές χώρες στις αρχές του 2012. Διαφορετικές εκδόσεις χρησιμοποιήθηκαν σε κάθε χώρα προβάλλοντας το λογότυπο της αστυνομικής αρχής της χώρας εκείνης. Για παράδειγμα οι εκδόσεις που χρησιμοποιήθηκαν στο Ηνωμένο Βασίλειο περιείχαν τα λογότυπα οργανισμών όπως η «Metropolitan Police Service» και το «Police National E-Crime Unit». Μια άλλη έκδοση περιείχε το λογότυπο της «royalty collection society PRS for Music», η οποία κατηγορούσε τον χρήστη για παράνομη λήψη μουσικής. Σε μια δημόσια, προειδοποιητική της δήλωση η «Metropolitan Police» διασαφήνισε ότι ποτέ δεν θα κλειδώσουν έναν υπολογιστή με αυτό τον τρόπο κατά τη διάρκεια έρευνας.
Τον Μάιο του 2012, οι ερευνητές κινδύνων της Trend Micro ανακάλυψαν πρότυπα της εφαρμογής για Ηνωμένες Πολιτείες και Καναδά και προειδοποίησαν ότι οι συγγραφείς της εφαρμογής ίσως σκόπευαν να πλήξουν χρήστες στην Βόρεια Αμερική. Μέχρι τον Αύγουστο του 2012, μια νέα έκδοση του Reveton ξεκίνησε να εξαπλώνεται στις Ηνωμένες Πολιτείες, ισχυριζόμενη ότι ο χρήστης υποχρεούται να πληρώσει ένα πρόστιμο 200 δολαρίων στο FBI με τη χρήση μιας MoneyPak κάρτας. Τον Φεβρουάριο του 2013, ένα Ρώσος πολίτης συνελήφθη στο Ντουμπάι από τις Ισπανικές αρχές επειδή είχε εμπλακεί σε ένα κύκλο εγκλημάτων που χρησιμοποιούσαν το Reveton· δέκα άλλα άτομα συνελήφθησαν για ξέπλυμα χρήματος. Τον Αύγουστο του 2014, η Avast Software ανέφερε ότι είχε βρει νέες εκδόσεις του Reveton οι οποίες περιείχαν και λογισμικό κλοπής κωδικών στο βασικό τους στέλεχος.

CryptoLocker

Το ransomware με κρυπτογράφηση ξαναεμφανίστηκε τον Σεπτέμβριο του 2013 με έναν Trojan γνωστό ως CryptoLocker, ο οποίος δημιουργούσε ένα RSA ζευγάρι κλειδιών των 2048-bit και αυτά με τη σειρά τους ανέβαιναν σε έναν server διαταγών και ελέγχου, και κρυπτογραφούσε αρχεία με συγκεκριμένα extensions βάσει ενός whitelist. Το κακόβουλο αυτό λογισμικό απειλούσε να διαγράψει το ιδιωτικό κλειδί εάν δεν γινόταν μια πληρωμή με Bitcoin ή με προπληρωμένη κάρτα μέσα σε τρεις ημέρες από την στιγμή της μόλυνσης του συστήματος. Λόγω του εξαιρετικά μεγάλου μεγέθους των κλειδιών που χρησιμοποιεί, οι αναλυτές και όσοι είχαν μολυνθεί από τον συγκεκριμένο Trojan θεώρησαν το CryptoLocker εξαιρετικά δύσκολο να επισκευαστεί. Ακόμα και αν η προθεσμία έληγε, το ιδιωτικό κλειδί μπορούσε ακόμα να αποκτηθεί με ένα online εργαλείο, αλλά η τιμή ανέβαινε στα 10 BTC – τα οποία κόστιζαν περίπου 2300 δολάρια τον Νοέμβριο του 2013.
Το CryptoLocker οδηγήθηκε σε καταστολή λόγω της κατάσχεσης του Gameover ZeuS botnet ως μέρος της Επιχείρησης Tovar, όπως ανακοινώθηκε από το Τμήμα Δικαιοσύνης των Ηνωμένων Πολιτειών στις 2 Ιουνίου του 2014. Το Τμήμα Δικαιοσύνης επίσης έκανε δημόσια καταγγελία απέναντι στον Ρώσο χάκερ Evgeniy Bogachev για την υποτιθέμενη ανάμιξή του στο botnet. Εκτιμάται ότι αποσπάστηκαν τουλάχιστον 3 εκατομμύρια δολάρια προτού κατασταλεί το συγκεκριμένο κακόβουλο λογισμικό.

CryptoLocker.F και TorrentLocker

Τον Σεπτέμβριο του 2014 ένα κύμα από ransomware Trojans εμφανίστηκε και έπληξε πρώτα χρήστες στην Αυστραλία, χρησιμοποιώντας τα ονόματα CryptoWall και CryptoLocker (το οποίο, όπως και το CryptoLocker 2.0, δεν έχει σχέση με το αρχικό CryptoLocker). Οι Trojans διαδόθηκαν μέσω δόλιων μηνυμάτων e-mail ισχυριζόμενα ότι είναι ειδοποιήσεις για αποτυχημένη μεταφορά δέματος από την Australia Post· για να αποφευχθεί ο εντοπισμός από τα e-mail scanner, τα οποία ακολουθούν όλους τους συνδέσμους της σε μια σελίδα για να ψάξουν για κακόβουλο περιεχόμενο, αυτή η έκδοση σχεδιάστηκε έτσι ώστε να απαιτεί από τους χρήστες να επισκεφτούν μια ιστοσελίδα και να εισάγουν έναν κωδικό CAPTCHA προτού γίνει η λήψη του βασικού στελέχους του ransomware, αποτρέποντας έτσι τις αυτόματες αυτές διεργασίες από το να ελέγξουν το βασικό στέλεχος του ransomware. Η Symantec αποφάσισε ότι οι νέες αυτές εκδόσεις, που αναγνωρίζονται με το όνομα CryptoLocker.F, και πάλι δεν είχαν καμία σχέση με το πρωτότυπο CryptoLocker λόγω των διαφορών στη λειτουργία τους. Ένα αξιοσημείωτο θύμα αυτών των Trojan ήταν η Αυστραλιανή ραδιοτηλεοπτική εταιρεία (Australian Broadcasting Corporation)· το ζωντανό πρόγραμμα ειδήσεων στην τηλεόραση ABC News 24 διακόπηκε για μισή ώρα και εκτράπηκε στα στούντιο της Μελβούρνης λόγω μιας μόλυνσης από το CryptoWall των υπολογιστών στο στούντιό τους στο Sydney.
Ακόμα ένας Trojan στο ίδιο κύμα, ο TorrentLocker, αρχικά περιείχε ένα σχεδιαστικό λάθος αντίστοιχο με αυτό του CryptoDefense· χρησιμοποιούσε το ίδιο κλειδί σε κάθε μολυσμένο υπολογιστή, καθιστώντας έτσι την αποκρυπτογράφηση σχετικά εύκολη. Ωστόσο, το τρωτό αυτό σημείο αποκαταστάθηκε αργότερα. Μέχρι τα τέλη Νοεμβρίου του 2014 εκτιμάται ότι πάνω από 9,000 χρήστες είχαν μολυνθεί από τον TorrentLocker στην Αυστραλία, ακολουθούμενες από άλλες 11,700 μολύνσεις στην Τουρκία.

CryptoWall

Ένας άλλος μεγάλος ransomware Trojan ο οποίος επιδρούσε σε συστήματα Windows, ο CryptoWall, πρωτοεμφανίστηκε το 2014. Ένα μέρος της διανομής του CryptoWall έγινε μέσω κακόβουλων διαφημιστικών καμπανιών στο διαφημιστικό δίκτυο Zedo στα τέλη Σεπτεμβρίου του 2014 το οποίο στόχεψε πολλές μεγάλες ιστοσελίδες· οι διαφημίσεις ανακατεύθυναν τους χρήστες προς μη τίμιες ιστοσελίδες οι οποίες εκμεταλλεύονταν plugin εγκατεστημένα στον browser για να κατεβάσουν το βασικό στέλεχος της εφαρμογής. Ένας ερευνητής των Barracuda Networks σημείωσε επίσης ότι το βασικό στέλεχος είχε ψηφιακή υπογραφή ώστε να φαίνεται αξιόπιστο απέναντι στα λογισμικά προστασίας. Το βασικό στέλεχος του CryptoWall 3.0 ήταν γραμμένο σε JavaScript και ήταν μέρος μιας επισύναψης σε email, τα εκτελέσιμα αρχεία της οποίας (επισύναψης) παρουσιάζονταν ως JPG φωτογραφίες. Για να προστατευτεί από τον εντοπισμό, το κακόβουλο λογισμικό δημιουργούσε νέες εκδοχές του explorer.exe και του svchost.exe για να επικοινωνήσει με τους servers. Κατά την κρυπτογράφηση των αρχείων, το κακόβουλο λογισμικό διαγράφει τα κρυφά αντίγραφα ασφαλείας του συστήματος και εγκαθιστά spyware το οποίο κλέβει κωδικούς και πορτοφόλια για Bitcoin.
Τον Ιούνιο του 2015 το FBI ανέφερε ότι σχεδόν 1,000 θύματα είχαν επικοινωνήσει με το Κέντρο Παραπόνων Διαδικτυακών Εγκλημάτων (Internet Crime Complaint Center) του FBI για να αναφέρουν μολύνσεις από τον CryptoWall, και εκτιμώμενες απώλειες τουλάχιστον 18 εκατομμυρίων δολαρίων (USD).
Η πιο πρόσφατη έκδοση, ο CryptoWall 4.0, βελτίωσε τον κώδικά του για να αποφύγει τον εντοπισμό από τα antivirus, και κρυπτογραφεί όχι μόνο τα δεδομένα μέσα στα αρχεία αλλά και τα ονόματα των αρχείων.

Fusob

Η Fusob είναι μια από τις μεγαλύτερες οικογένειες ransomware για κινητές συσκευές. Μεταξύ Απριλίου του 2015 και Μαρτίου του 2016, περίπου το 56% των υπολογίσιμων ransomware για κινητές συσκευές ήταν Fusob.
Όπως ένα τυπικό ransomware για κινητές συσκευές, το Fusob χρησιμοποιεί τεχνικές εκφοβισμού για να πείσει τους χρήστες να πληρώσουν λύτρα. Το πρόγραμμα προσποιείται ότι είναι μια κατηγορητική αρχή, απαιτώντας από το θύμα να πληρώσει ένα πρόστιμο από 100 μέχρι 200 δολάρια (USD) ή αλλιώς θα έχει να αντιμετωπίσει μια φανταστική κατηγορία. Το εντυπωσιακό είναι ότι το Fusob προτείνει τη χρήση δωροεπιταγών iTunes για την πληρωμή. Επίσης, μια αντίστροφη μέτρηση πάνω στην οθόνη προσθέτει άγχος στους χρήστες.
Για να μολύνει τις συσκευές, ο Fusob προσποιείται ότι είναι ένα πρόγραμμα αναπαραγωγής βίντεο πορνογραφικού περιεχομένου. Έτσι, τα θύματα, σκεπτόμενα ότι είναι ακίνδυνο, κατεβάζουν το Fusob εν αγνοία τους.
Όταν το Fusob εγκαθίσταται, αρχικά ελέγχει την γλώσσα της συσκευής. Αν είναι Ρωσική ή κάποια από συγκεκριμένες γλώσσες της Ανατολικής Ευρώπης, το Fusob δεν κάνει τίποτα. Αλλιώς, προχωράει στο κλείδωμα της συσκευής και απαιτεί λύτρα. Ανάμεσα στα θύματα, περίπου το 40% ήταν στην Γερμανία, το 14,5% στο Ηνωμένο Βασίλειο και το 11,4% στις Ηνωμένες Πολιτείες.
Το Fusob έχει πολλά κοινά με το Small, το οποίο είναι ένα επίσης αρκετά διαδεδομένο ransomware για κινητές συσκευές. Αυτά τα δύο αποτέλεσαν πάνω από το 93% του ransomware για κινητές συσκευές που κυκλοφόρησε μεταξύ του 2015 και του 2016.

WannaCry

Τον Μάιο του 2017 η ransomware επίθεση WannaCry διαδόθηκε μέσω διαδικτύου, εκμεταλλευόμενο το όνομα EternalBlue, το οποίο είχε διαρρεύσει από την Εθνική Υπηρεσία Ασφαλείας των Ηνωμένων Πολιτειών (U.S. National Security Agency). Η επίθεση ransomware, μεγαλύτερη από όλες τις προηγούμενες, μόλυνε πάνω από 230,000 υπολογιστές σε πάνω από 150 χώρες, χρησιμοποιώντας 20 διαφορετικές γλώσσες για να ζητήσει χρήματα από τους χρήστες με μορφή κρυπτονομίσματος Bitcoin. Ο WannaCrypt απαιτούσε 300 δολάρια (USD) ανά υπολογιστή. Η επίθεση έπληξε την Telefónica και αρκετές άλλες μεγάλες εταιρείες στην Ισπανία, τμήματα του Βρετανικού Εθνικού Συστήματος Υγείας (British National Health Service - NHS), όπου τουλάχιστον 16 νοσοκομεία αναγκάστηκαν να απομακρύνουν ασθενείς ή να ακυρώσουν προγραμματισμένες εγχειρήσεις, καθώς και τις FedEx, Deutsche Bahn, Honda, Renault, το Ρωσικό Υπουργείο Εσωτερικών και την Ρωσική MegaFon. Οι θύτες έδωσαν στα θύματά τους 7ήμερη διορία από την ημέρα που ο υπολογιστής τους μολύνθηκε, μετά το πέρας της οποίας τα κρυπτογραφημένα αρχεία τους θα διαγράφονταν.

Petya

Ο Petya ανακαλύφθηκε πρώτη φορά τον Μάρτιο του 2016· σε αντίθεση με άλλες μορφές κρυπτογραφικού ransomware, το συγκεκριμένο κακόβουλο λογισμικό στόχευε να μολύνει το master boot record, εγκαθιστώντας ένα βασικό στέλεχος της εφαρμογής το οποίο κρυπτογραφεί τους πίνακες των αρχείων του συστήματος αρχείων NTFS την επόμενη φορά που το μολυσμένο σύστημα ξεκινούσε, εμποδίζοντας το σύστημα από την εκκίνηση των Windows μέχρι να πληρωθούν τα λύτρα. Η Check Point ανέφερε ότι παρόλο την καινοτόμο εξέλιξη στον τομέα σχεδιασμού ransomware, ο συγκεκριμένος είχε προκαλέσει σχετικά λιγότερες μολύνσεις συγκριτικά με άλλα ransomware τα οποία ήταν ενεργά για την ίδια περίοδο.
Στις 27 Ιουνίου του 2017, μια αρκετά τροποποιημένη έκδοση του Petya χρησιμοποιήθηκε για μια παγκόσμια κυβερνοεπίθεση στοχεύοντας κυρίως την Ουκρανία. Αυτή η έκδοση είχε τροποποιηθεί για να διαδοθεί χρησιμοποιώντας το κόλπο (exploit) EternalBlue που χρησιμοποίησε και ο WannaCry. Λόγω μιας άλλης σχεδιαστικής αλλαγής ήταν αδύνατον να ξεκλειδωθεί πραγματικά το σύστημα, ακόμα και μετά την πληρωμή των λύτρων· αυτό οδήγησε τους αναλυτές ασφαλείας στο συμπέρασμα ότι η επίθεση δεν έγινε για να δημιουργήσει παράνομο κέρδος αλλά για να προκαλέσει απλά αναστάτωση.

Bad Rabbit

Στις 24 Οκτωβρίου του 2017, κάποιοι χρήστες στην Ρωσία και την Ουκρανία ανέφεραν ότι μια νέα επίθεση ransomware, με όνομα «Bad Rabbit», κινήθηκε στο ίδιο μοτίβο με τον WannaCry και τον Petya κρυπτογραφώντας τους πίνακες αρχείων των χρηστών και κατόπιν ζητούσε πληρωμή με BitCoin για να τους αποκρυπτογραφήσει. Η ESET πίστευε ότι η διανομή του ransomware έγινε μέσω μιας πλαστής ενημέρωσης του λογισμικού Adobe Flash. Ανάμεσα στους οργανισμούς που επηρεάστηκαν ήταν η Interfax, το Διεθνές Αεροδρόμιο της Οδησσού, το μετρό του Κιέβου και το Υπουργείο Υποδομών της Ουκρανίας. Επειδή χρησιμοποιούσε εταιρικές δομές δικτύων για να εξαπλωθεί, το ransomware ανακαλύφθηκε και σε άλλες χώρες, συμπεριλαμβανομένων της Τουρκίας, Γερμανίας, Πολωνίας, Ιαπωνίας, Νότιας Κορέας και των Ηνωμένων Πολιτειών. Οι ειδικοί πιστεύουν ότι αυτή η επίθεση ransomware ήταν συνυφασμένη με την επίθεση Petya στην Ουκρανία, αν και το μόνο κοινό τους στοιχείο είναι τα ονόματα των χαρακτήρων από τη σειρά Game of Thrones που χρησιμοποιήθηκαν στον κώδικα.
Οι ειδικοί ασφαλείας βρήκαν ότι το ransomware αυτό δεν χρησιμοποίησε το κόλπο (exploit) EternalBlue για να διαδοθεί, ενώ μια απλή μέθοδος «εμβολιασμού» ενός μηχανήματος που δεν είχε μολυνθεί και έτρεχε παλαιότερη έκδοση των Windows βρέθηκε πριν τις 24 Οκτωβρίου του 2017. Επιπλέον, οι ιστοσελίδες που χρησιμοποιήθηκαν για να διαδώσουν την πλαστή έκδοση του Flash κατέβηκαν από το διαδίκτυο ή αφαιρέθηκαν τα προβληματικά αρχεία μέσα σε λίγες μέρες από την ανακάλυψη του ransomware, μειώνοντας αποτελεσματικά την διάδοση του Bad Rabbit.

Καταστολή

Όπως και με τις άλλες μορφές κακόβουλου λογισμικού, τα λογισμικά ασφαλείας (antivirus software) μπορεί να μην εντοπίσουν έναν ιό ransomware, ή, ειδικά στην περίπτωση των κρυπτογραφικών (ransomware), μόνο κατά τη διάρκεια της κρυπτογράφησης ή μετά το πέρας της, ειδικά αν μια νέα έκδοση άγνωστη στο προστατευτικό λογισμικό διανεμηθεί. Αν μια επίθεση είναι ύποπτη ή εντοπιστεί στα πρώτα της στάδια, χρειάζεται κάποιος χρόνος για να πραγματοποιηθεί η κρυπτογράφηση· η άμεση αφαίρεση του κακόβουλου λογισμικού (είναι μια απλή διαδικασία) προτού ολοκληρώσει τον σκοπό της σταματάει την περεταίρω ζημία των δεδομένων, χωρίς βέβαια να σώζει ό τι έχει ήδη χαθεί.
Οι ειδικοί ασφαλείας έχουν προτείνει μέτρα πρόληψης απέναντι στα ransomware. Η χρήση λογισμικού ή άλλων πολιτικών ασφαλείας για το μπλοκάρισμα γνωστών ιών βοηθάει στην πρόληψη της μόλυνσης, αλλά δεν προστατεύει από όλες τις επιθέσεις. Κρατώντας «offline» αντίγραφα ασφαλείας των δεδομένων σε περιοχές μη προσβάσιμες από οποιονδήποτε πιθανόν μολυσμένο υπολογιστή, όπως εξωτερικοί αποθηκευτικοί δίσκοι ή συσκευές που δεν έχουν πρόσβαση σε κανένα δίκτυο (συμπεριλαμβανομένου και του διαδικτύου), αποτρέπει την πρόσβαση σε αυτά από ransomware εφαρμογές. Εγκαθιστώντας ενημερώσεις ασφαλείας που εκδίδονται από παρόχους λογισμικού μπορεί να μετριάσει τις αδυναμίες που αξιοποιούνται από τα κακόβουλα λογισμικά. Άλλα μέτρα περιλαμβάνουν την «κυβερνο-υγιεινή» - εξασκώντας την ικανότητα προσοχής κατά το άνοιγμα συνδέσμων και επισυναπτόμενων αρχείων σε e-mail, την τμηματική οργάνωση των δικτύων και κρατώντας τους κρίσιμους υπολογιστές απομονωμένους από κάθε δίκτυο. Επιπλέον, για να καταπολεμηθεί η εξάπλωση του ransomware μπορούν να ληφθούν μέτρα ελέγχου μόλυνσης. Αυτά μπορεί να περιλαμβάνουν την αποσύνδεση των μολυσμένων συσκευών από όλα τα δίκτυα, εκπαιδευτικά προγράμματα, κανάλια επικοινωνίας, την παρακολούθηση κακόβουλου λογισμικού και τρόπους συλλογικής συμμετοχής.

Αποκρυπτογράφηση αρχείων και ανάκτηση

Υπάρχουν αρκετά εργαλεία με σκοπό την αποκρυπτογράφηση αρχείων κλειδωμένων από ransomware, ωστόσο η επιτυχής ανάκτηση μπορεί να μην είναι πάντα δυνατή. Αν το ίδιο κλειδί κρυπτογράφησης έχει χρησιμοποιηθεί για όλα τα αρχεία, τα εργαλεία αποκρυπτογράφησης χρησιμοποιούν αρχεία για τα οποία υπάρχουν τόσο άθικτα αντίγραφα ασφαλείας όσο και κρυπτογραφημένα αντίγραφα (μια επίθεση known-plaintext στην ορολογία της κρυπτανάλυσης) · η ανάκτηση του κλειδιού, εάν είναι δυνατή, μπορεί να πάρει μερικές μέρες. Τα δωρεάν εργαλεία αποκρυπτογράφησης ransomware μπορούν να βοηθήσουν στην αποκρυπτογράφηση αρχείων κρυπτογραφημένων από τους τύπους ransomware που ακολουθούν: AES_NI, Alcatraz Locker, Apocalypse, BadBlock, Bart, BTCWare, Crypt888, CryptoMix, CrySiS, EncrypTile, FindZip, Globe, Hidden Tear, Jigsaw, LambdaLocker, Legion, NoobCrypt, Stampado, SZFLocker, TeslaCrypt, XData.
Επιπλέον, τα παλιά αντίγραφα των αρχείων μπορεί να υπάρχουν στο δίσκο, τα οποία έχουν ήδη διαγραφεί. Σε μερικές περιπτώσεις αυτές οι διαγραμμένες εκδόσεις των αρχείων μπορούν να ανακτηθούν χρησιμοποιώντας λογισμικό σχεδιασμένο για αυτό τον σκοπό.

Ελευθερία του λόγου και ποινική τιμωρία

Η δημοσίευση της απόδειξης του σκεπτικού του κώδικα επίθεσης είναι συχνή πρακτική ανάμεσα στους ακαδημαϊκούς ερευνητές και τους ερευνητές ευπαθειών. Διδάσκει την φύση των απειλών, τονίζει την σοβαρότητα των ζητημάτων και επιτρέπει την επινόηση και εφαρμογή μέτρων ασφαλείας. Ωστόσο, οι νομοθέτες με την υποστήριξη των οργάνων επιβολής του νόμου προτίθενται να καταστήσουν την δημιουργία ransomware παράνομη. Στην πολιτεία Maryland το πρωτότυπο σχεδιάγραμμα του HB 340 θεώρησε κακούργημα την δημιουργία ransomware, με ποινή έως 10 χρόνια φυλάκισης. Ωστόσο, η διάταξη αυτή καταργήθηκε από την τελική έκδοση του νομοσχεδίου. Ένας ανήλικος στην Ιαπωνία συνελήφθη για δημιουργία και διανομή κώδικα ransomware. Οι Young και Yung έχουν τον ANSI C πηγαίο κώδικα ενός ransomware κρυπτο-Trojan online, στο cryptovirology.com, από το 2005 ως μέρος ενός cryptovirology βιβλίου που γραφόταν. Ο πηγαίος κώδικας του κρυπτο-Trojan είναι ακόμα ανεβασμένος στο διαδίκτυο και έχει να κάνει με ένα σχεδιάγραμμα του δεύτερου κεφαλαίου του βιβλίου.