Black TENGU рансъмуер

Защитата на компютри, телефони и бизнес мрежи от зловреден софтуер вече не е по избор. Съвременните заплахи могат да заключат критични файлове, да откраднат чувствителна информация, да прекъснат операции и да причинят сериозни финансови щети в рамките на минути. Семейства рансъмуер като Black TENGU Ransomware демонстрират как киберпрестъпниците комбинират криптиране и кражба на данни, за да принудят жертвите да платят.

Black TENGU Ransomware: Преглед на заплахите

Black TENGU е сложен щам на ransomware, идентифициран от изследователи по сигурността. След като получи достъп до компрометирано устройство, той криптира съхранените файлове, така че те вече не могат да бъдат отворени нормално. По време на процеса на криптиране, той добавя разширението „.TENGU“ към засегнатите файлове. Например, файл с име „1.png“ става „1.png.TENGU“, докато „2.pdf“ се преименува на „2.pdf.TENGU“.

Това поведение при преименуване е често срещан индикатор за активност на ransomware, сигнализиращ, че оригиналните данни са били трансформирани в нечетливо състояние. След това жертвите нямат достъп до лични документи, бази данни, изображения, архиви и други важни файлове.

Записката за откуп и двойното изнудване

Black TENGU също така изпраща съобщение за откуп с име „_README_TENGU.txt“. Според съобщението, нападателите твърдят, че са проникнали в мрежата на жертвата, откраднали са поверителни данни и са криптирали файлове в системата. В съобщението се обещава инструмент за декриптиране след плащане и се посочва, че открадната информация уж ще бъде изтрита след плащането на откупа.

Съобщението допълнително предупреждава жертвите да не се опитват да декриптират или самостоятелно да се възстановяват от трети страни, твърдейки, че това може трайно да повреди файловете. То насочва комуникацията чрез имейл адреси като „tengulocker@cyberfear.com“ и „tengunlocker@onionmail.com“, както и чрез чат портал, базиран на Tor.

Тази тактика отразява нарастваща тенденция, известна като двойно изнудване. Нападателите не разчитат само на криптиране; те също така заплашват да разкрият публично откраднати данни, освен ако не бъде извършено плащане. Това създава допълнителен натиск върху организациите, които обработват клиентски записи, финансови документи или поверителна информация.

Защо плащането на откупа е рисковано

Въпреки че жертвите може да се чувстват в капан, плащането на откуп носи значителен риск. Престъпните групировки често дават обещания, които не спазват. Някои жертви никога не получават работещ инструмент за декриптиране, докато други стават мишена отново, след като покажат готовност да платят. Дори когато файловете бъдат възстановени, откраднатите данни все още могат да бъдат продадени, изтекли или запазени за бъдещо изнудване.

По-безопасният път за възстановяване обикновено е възстановяването на чисти резервни копия, след като зловредният софтуер е бил напълно премахнат от засегнатите системи. Екипите за реагиране при инциденти също трябва да разследват как е станало проникването, за да предотвратят повторно заразяване.

Как вероятно се разпространява черният ТЕНГУ

Подобно на много семейства ransomware, Black TENGU може да разчита на множество канали за заразяване. Злонамерените лица често използват измамни методи за доставяне, които подвеждат потребителите да стартират злонамерени файлове или да посетят опасни уебсайтове.

Често срещаните техники за разпространение включват:

• Измамни имейли, съдържащи вредни прикачени файлове или връзки
• Фалшиви актуализации на софтуера, измами с техническа поддръжка и злонамерени реклами
• Експлоатация на уязвимости в остарял или неактуализиран софтуер
• Пиратски софтуер, кракове, генератори на ключове и неофициални страници за изтегляне
• Заразени USB устройства, компрометирани уебсайтове и мрежи за споделяне от тип „peer-to-peer“

Зловреден софтуер често се маскира като обикновени ZIP архиви, PDF файлове, скриптове, Office документи или изпълними файлове.

Най-добри практики за сигурност за засилване на защитата от зловреден софтуер

Силната превенция съчетава технологии, осведоменост и дисциплинирана поддръжка. Системите винаги трябва да използват надежден софтуер за сигурност с активирана защита в реално време. Операционните системи, браузърите, плъгините и бизнес приложенията трябва да бъдат бързо поправяни, тъй като известните уязвимости често се използват за внедряване на ransomware.

Надеждните резервни копия са една от най-ефективните защити. Важните данни трябва да се копират редовно в офлайн или облачни местоположения, които не могат да бъдат директно променени от зловреден софтуер. Възстановяването на резервни копия също трябва да се тества, така че да е възможно възстановяването по време на реална извънредна ситуация.

Вниманието при работа с имейли остава от съществено значение. Неочаквани прикачени файлове, спешни заявки за плащане, съобщения за нулиране на парола и непознати връзки трябва да се третират с подозрение. Организациите се възползват изключително много от обучение за повишаване на осведомеността на потребителите, което учи персонала как работят фишинг атаките.

Контролът на достъпа е също толкова важен. Потребителите трябва да избягват работа с администраторски права, освен ако не е необходимо, а инструментите за отдалечен достъп, като RDP, трябва да бъдат защитени със силни пароли и многофакторно удостоверяване. Сегментирането на мрежата може да намали способността на ransomware да се разпространява между множество устройства.

Препоръчителните защитни навици включват:

• Поддържайте целия софтуер актуализиран и премахвайте неподдържаните приложения
• Поддържайте множество резервни копия, включително поне едно офлайн копие
• Използвайте силни пароли и активирайте многофакторно удостоверяване

• Инсталирайте надеждна защита на крайните точки и защитна стена

• Избягвайте пиратски софтуер и непроверени файлове за изтегляне

Окончателна оценка

Black TENGU Ransomware представлява опасна съвременна заплаха, която съчетава криптиране на файлове, изнудване и евентуална кражба на данни. Използването на преименувани файлове с разширение „.TENGU“ и специално искане за откуп показва умишлена кампания, предназначена да окаже бърз натиск върху жертвите. Най-силната защита е проактивната сигурност: актуализирани системи, предпазливи потребители, силно удостоверяване, сегментирани мрежи и надеждни резервни копия. Организациите и лицата, които се подготвят предварително, са много по-устойчиви, когато ransomware атакува.