GenieLocker ransomware is sinds maart 2026 actief in aanvallen op organisaties in de Russische Federatie. Volgens open-source inzichten wordt de dreiging gekoppeld aan de groep Toy Ghouls, die vooral bekendstaat als financieel gemotiveerde afpersers. In plaats van alleen te leunen op bestaande encryptietrojans, lijkt GenieLocker te zijn gebouwd als eigen ontwerp en wordt het als maatwerk ingezet op meerdere platformen.
In dit artikel zetten we de opvallendste kenmerken uiteen: hoe de aanval start, welke stappen volgen om toegang en controle te krijgen, en wat er technisch gebeurt tijdens de versleuteling op Windows, Linux en ESXi. Zo krijg je beter zicht op wat je kunt verwachten bij een besmetting met GenieLocker ransomware en waar je preventief en detectief het meest op moet letten.
Waarom GenieLocker ransomware anders aanvoelt
De kern van de dreiging is dat GenieLocker is ontworpen om “native” te draaien op verschillende omgevingen: Windows, Linux én ESXi. Dat betekent dat aanvallers hun toolkit beter kunnen afstemmen op de doelwitten en minder afhankelijk zijn van externe, kant-en-klare encryptiesoftware.
Daarnaast laat de TTP (tactiek/techniek/procedure) zien dat de groep herhaalbare stappen gebruikt. Tegelijk is er genoeg maatwerk zichtbaar in de encryptiecomponent zelf, inclusief platformspecifieke varianten en cryptografische bouwstenen.
Start van de aanval: binnenkomen via OpenVPN
Bij het onderzochte incident kwamen aanvallers de omgeving binnen via een OpenVPN-verbinding. Die verbinding kwam tot stand vanuit het netwerk van een externe partner. De vermoedelijke route: misbruik van een vertrouwensrelatie met die partner, gecombineerd met gestolen maar nog geldige inloggegevens.
Dat patroon is vooral relevant voor organisaties met externe samenwerkingen. Eén fout in partnervertrouwen of credential-hygiëne kan een ingang worden voor volledige compromis.
Discovery en credential access: tools die je niet wilt zien
Nadat de aanvallers voet aan de grond hadden, installeerden ze extra tooling op gecompromitteerde hosts. Daarbij werden onder andere OpenSSH, een socks5.exe-component en een netwerkscanner ingezet: SoftPerfect Network Scanner. Voor credential dumping is Mimikatz ingezet.
Verder is er forensisch bewijs dat aanvallers ook de KeePassXC-wachtwoordmanager hebben benaderd die al op meerdere machines aanwezig was. Het idee daarbij is logisch: opgeslagen credentials uit KeePass-databases proberen te verkrijgen, waardoor laterale beweging en privilege-escalatie gemakkelijker worden.
Lateral movement en command-and-control
Voor het lateraal verplaatsen binnen het netwerk werd gebruikgemaakt van RDP voor Windows-systemen en SSH voor Linux-servers. De uitrol van de encryptietrojan vond vervolgens plaats met legitieme hulpprogramma’s: PsExec en PAExec.
Om communicatie met de command-and-control infrastructuur te faciliteren, werd ook een reverse SSH-tunnel opgezet. Dit maakt de uitgaande verbindingen minder “verdacht” dan een volledig nieuwe, ongewone C2-route.
Impact: encryptie op Windows, Linux en ESXi
In de impactfase ging de groep over tot versleuteling. Op Windows-machines werd de PE-variant van GenieLocker ransomware gebruikt om bestanden te versleutelen.
Op de Linux- en ESXi-systemen werden virtuele machines gestopt en werden schijven versleuteld met een variant die specifiek is uitgebracht voor die platformen (ELF-versie). Daarmee richt de aanval zich niet alleen op losse endpoints, maar ook op de virtualisatie-laag.
Windows-variant: maatwerk encryptie met libsodium
De Windows-versie van GenieLocker is primair geschreven in C, maar gecompileerd met C++ libraries. De malware gebruikt de open-source libsodium-bibliotheek voor cryptografische functies.
Opvallend is dat de ransomware geen standaard readme-bestanden met contactinformatie opslaat op de besmette systemen. In plaats daarvan moeten aanvallers de losgeldboodschap en contactdetails handmatig aanleveren tijdens de aanval. Het lijkt erop dat deze aanpak bedoeld kan zijn om detectie te vertragen of te omzeilen.
Encryptie-aansturing via “secret argument”
De malware verwacht bij de Windows-variant een eerste argument: een hex-string die in de code een “secret argument” wordt genoemd. Dit is nodig voor het starten van de ransomware. De waarde wordt omgezet naar bytes en vervolgens via SHA-256 vergeleken met een hardcoded waarde.
Daarna volgen verdere transformaties (o.a. BLAKE2b-256), waarbij de uiteindelijke uitkomst niet direct wordt gebruikt zoals je zou verwachten. Dat suggereert dat er mogelijk (nog) onderdelen van de functionaliteit in ontwikkeling waren.
Anti-debugging en watchdog-logica
Om analyse te bemoeilijken bevat GenieLocker mechanismen om te controleren of het proces wordt geobserveerd. Er is een initial environment check waarbij WinAPI-functies worden gebruikt om debuggers te detecteren. Vervolgens start een watchdog-thread die in een oneindige lus periodiek controles uitvoert; als één check faalt, beëindigt de malware zichzelf meteen.
Daarnaast berekent de malware een CRC32 van het .text-segment en vergelijkt die waarde steeds opnieuw. Wordt de code gewijzigd door een debugger of andere tooling, dan kan dat verschil detectie triggeren.
Exclusielijsten en proces- en service-stop
Voor het versleutelen hanteert GenieLocker meerdere uitsluitingslijsten. Zo worden veel systeemmappen en specifieke Windows-bestanden en extensies niet geraakt, om te voorkomen dat essentiële onderdelen van het OS worden beschadigd.
Als de hostnaam niet binnen een (leeg in het onderzochte sample) exclusielijst valt, stopt de ransomware bovendien processen die mogelijk bestanden gebruiken. Ook worden services gestopt via ControlService. Pas daarna start de trojan met het opzetten van encryptie-taken en het benaderen van beschikbare drives, inclusief netwerkshares.
Versleuteling op bestand-niveau: lockfiles, journal en chunking
De extensie voor versleutelde bestanden is hardcoded. Voor elk bestand maakt de ransomware twee hulpfiles aan: een lock file om dubbele encryptie te voorkomen en een journal file voor status en integriteitscontrole.
De encryptie gebeurt in chunks (standaard per 0x1000000 bytes). Met een parameter kan worden ingesteld welk percentage van de inhoud wordt versleuteld. Zelfs wanneer dat percentage nul is, wordt in het onderzochte gedrag toch minimaal een eerste chunk aan het begin versleuteld.
Voor de daadwerkelijke cryptografie gebruikt GenieLocker AEAD met XChaCha20-Poly1305 voor content en metadata, met unieke key/nonce per bestand. Sleutels worden versleuteld via Curve25519-XSalsa20-Poly1305 met een hardcoded master public key in de trojan.
Linux en ESXi: eenvoudiger, maar met platformfuncties
De Linux/ESXi variant is volgens de analyse eenvoudiger dan de Windows-versie. Er is geen secret argument, er ontbreken anti-debugging technieken en exclusielijsten. Tegelijk bevat de ESXi-variant functies die specifiek passen bij die omgeving.
Zo ondersteunt deze build een daemonized modus via -d, met double-fork om het proces volledig los te koppelen van de ouder. Ook wordt de ESXi “Welcome Message” aangepast door /etc/vmware/welcome te wijzigen. Op Linux-distributies verandert die path logischerwijs niet.
Verder ondersteunt de ESXi-build opties voor een launch-delay en het instellen van het aantal encryptie-worker threads. Ook hier geldt dat de encryptielogica in grote lijnen vergelijkbaar is met de Windows-variant qua algoritmes: XChaCha20-Poly1305 voor content/metadata en Curve25519-XSalsa20-Poly1305 voor key-encryptie.
Waar slachtoffers vandaan komen
Telemetrie wijst uit dat detecties van GenieLocker ransomware vooral geconcentreerd zijn op endpoints in de Russische Federatie. In de campagne rond maart 2026 werd met name de maakindustrie geraakt, met bouw, financiële dienstverlening, retail en technologie als overige sectoren die eveneens getroffen werden.
Conclusie: maatwerk ransomware voor meerdere lagen van je infrastructuur
GenieLocker ransomware laat zien dat aanvallers hun encryptiecomponent steeds vaker zelf bouwen en aanpassen aan het doelplatform. De combinatie van entry via een partnerverbinding, het inzetten van bekende dual-use tools, laterale beweging via RDP/SSH en de brede impact op Windows én virtualisatie (ESXi) maakt deze dreiging bijzonder relevant voor teams die zich bezighouden met endpoint-, server- en virtualisatiebeveiliging.
Voor organisaties is de belangrijkste les: verbeter niet alleen bestandsbescherming, maar kijk ook naar partnertoegang, credential hygiene, netwerksegmentatie en monitoring van standaard hulpmiddelen die aanvallers misbruiken. Daarmee verklein je de kans dat een maatwerk ransomware-actie je systemen volledig kan raken.
Bron: https://securelist.com/genielocker-ransomware-for-windows-linux-and-esxi/120843/
