{"id":131,"date":"2016-06-10T10:12:50","date_gmt":"2016-06-10T14:12:50","guid":{"rendered":"https:\/\/www.kaspersky.nl\/blog\/?p=131"},"modified":"2019-11-22T13:29:44","modified_gmt":"2019-11-22T11:29:44","slug":"criminals-behind-coinvault-arrested","status":"publish","type":"post","link":"https:\/\/www.kaspersky.nl\/blog\/criminals-behind-coinvault-arrested\/131\/","title":{"rendered":"Cybercrime loont (toch) niet"},"content":{"rendered":"<p>Misdaad loont niet, is een bekend gezegde. Cybercrime en dan vooral het relatief makkelijke ransomware lijkt wel te lonen. Verse arrestaties in Nederland spreken die notie echter tegen. Verdachten achter de CoinVault-ransomware krijgen nu de rekening gepresenteerd.<\/p>\n<p>Formeel zijn de twee mannen (18 en 22 jaar) uit Amersfoort verdacht van betrokkenheid bij de omvangrijke CoinVault-operatie. Bij die internationale ransomwarecampagne zijn meer dan 1500 Windows-pc\u2019s besmet met malware die daar vervolgens kostbare bestanden heeft gegijzeld. Zo\u2019n digitale gijzeling gebeurt met krachtige encryptie waardoor de versleutelde bestanden niet langer toegankelijk zijn voor de eigenaren. Tenzij die slachtoffers losgeld betalen aan de afpersers.<\/p>\n<h3>Samen sterk staan<\/h3>\n<p>CoinVault heeft in meer dan twintig landen huisgehouden, zo blijkt uit ons uitgebreide onderzoek naar deze ransomware. In samenwerking met de National High Tech Crime Unit (NHTCU) van de Nederlandse politie zijn nu de vermoedelijke afpersers gelokaliseerd en ge\u00efdentificeerd. Onze collega\u2019s van Panda Security hebben ook meegewerkt aan deze opsporingsoperatie door diverse samples van de gebruikte malware aan te dragen.<\/p>\n<p>De cybercriminelen achter CoinVault hebben hun malafide software namelijk diverse keren gewijzigd om telkens nieuwe slachtoffers op de korrel te kunnen nemen. Zo hebben ze geprobeerd tienduizenden computers wereldwijd te infecteren met hun gijzelingssoftware. Het merendeel van hun slachtoffers bevindt zich in Nederland, Duitsland, de Verenigde Staten, Frankrijk en Groot-Brittanni\u00eb. Zeker 1500 pc\u2019s zijn met succes gegijzeld, waarna de slachtoffers losgeldeisen in Bitcoins voor ogen kregen.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">How does Kaspersky Internet Security protect you from <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a>? \u2013 <a href=\"http:\/\/t.co\/7drBP7PWxL\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/7drBP7PWxL<\/a> <a href=\"http:\/\/t.co\/f5BDXJOC47\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/f5BDXJOC47<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/602008649846882305?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">May 23, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<h3>Vloeiend Nederlands<\/h3>\n<p>CoinVault is ons vorig jaar al <a href=\"https:\/\/securelist.com\/blog\/virus-watch\/67699\/a-nightmare-on-malware-street\/\" target=\"_blank\" rel=\"noopener\">opgevallen<\/a>, onder meer doordat het de onderscheidende eigenschap had dat het een gratis \u2018voorproefje\u2019 gaf aan slachtoffers. Zij konden \u00e9\u00e9n gegijzeld bestand gratis ontsleutelen. Dit als teken van goede wil. Daarnaast schakelt deze ransomware Windows\u2019 automatische back-updienst VSS (volume shadow copy) uit.<\/p>\n<p>De CoinVault-aanvallen werden eind vorig jaar \u2013 na onze onthullingen erover \u2013 plots stilgelegd, maar in april dit jaar is een nieuwe variant gedecteerd. Een variant met vloeiend Nederlands taalgebruik in de code. Dat er een \u2018Dutch connection\u2019 moest zijn, was duidelijk. Want het is voor buitenstaanders relatief moeilijk om foutloos Nederlands te schrijven. En dat zette ons op het spoor van de daders, ergens in ons eigen land.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Learn how to remove CoinVault ransomware and restore your lost files \u2013 <a href=\"http:\/\/t.co\/OB02O372Yy\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/OB02O372Yy<\/a> <a href=\"http:\/\/t.co\/QjwzvIdKnz\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/QjwzvIdKnz<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/589108591346524162?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 17, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<h3>Betaling voorkomen<\/h3>\n<p>In diezelfde maand dat de nieuwe variant met Nederlandse inhoud is ontdekt, hebben wij in samenwerking met de Nederlandse politie de gratis \u2018databevrijdingssite\u2019 <a href=\"https:\/\/noransom.kaspersky.com\/\" target=\"_blank\" rel=\"noopener\">NoRansom<\/a> opgezet. Daar hebben we in beslag genomen decryptiesleutels klaarstaan om CoinVault-slachtoffers te helpen. Naast de \u2018sleutels\u2019 bieden we ook een gratis downloadbare decryptie-app. Dit alles om betaling van losgeld te voorkomen.<\/p>\n<p>Want cybercriminelen die ransomware inzetten, maken zich schuldig aan afpersing omdat het ze geld oplevert. We adviseren slachtoffers echter om hun afpersers nooit te betalen, want vaak krijg je hiermee je bestanden niet terug en daarnaast motiveert betaling cybercriminelen om hun werk voort te zetten. En dat moet niet het geval zijn. Misdaad hoort niet te lonen, ook cybercrime niet. De gelegenheid maakt de dief, om af te ronden met een ander gepast gezegde, maar niet als het aan ons en de politie ligt.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Verdachten achter de CoinVault-ransomware krijgen nu de rekening gepresenteerd.<\/p>\n","protected":false},"author":1985,"featured_media":132,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[24,28,18],"tags":[34,43,44,46,45,47,32,40],"class_list":{"0":"post-131","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-security","8":"category-threats","9":"category-malware","10":"tag-beveiliging","11":"tag-coinvault","12":"tag-geld","13":"tag-kaspersky-lab","14":"tag-malware","15":"tag-politie","16":"tag-ransomware","17":"tag-security"},"hreflang":[{"hreflang":"nl","url":"https:\/\/www.kaspersky.nl\/blog\/criminals-behind-coinvault-arrested\/131\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/criminals-behind-coinvault-arrested\/5992\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/criminals-behind-coinvault-arrested\/6252\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/criminals-behind-coinvault-arrested\/6180\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/criminals-behind-coinvault-arrested\/6837\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/criminals-behind-coinvault-arrested\/6589\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/criminals-behind-coinvault-arrested\/8927\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/criminals-behind-coinvault-arrested\/4877\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/criminals-behind-coinvault-arrested\/6162\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/criminals-behind-coinvault-arrested\/8927\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.nl\/blog\/tag\/malware\/","name":"malware"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/posts\/131","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/users\/1985"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/comments?post=131"}],"version-history":[{"count":4,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/posts\/131\/revisions"}],"predecessor-version":[{"id":24544,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/posts\/131\/revisions\/24544"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/media\/132"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/media?parent=131"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/categories?post=131"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.nl\/blog\/wp-json\/wp\/v2\/tags?post=131"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}