ELITTE87 рансъмуер

По време на разследването на потенциални заплахи от зловреден софтуер експертите по киберсигурност се натъкнаха на нов щам, известен като ELITTE87. Класифициран като рансъмуер, този заплашителен софтуер действа чрез проникване в устройството на жертвата и иницииране на криптиране на широк набор от типове файлове. Освен това, той променя оригиналните файлови имена на тези криптирани файлове. Жертвите на ELITTE87 се сблъскват с две бележки за откуп: едната се появява като изскачащ прозорец, а другата се запазва като текстов файл с име „info.txt“.

ELITTE87 добавя специфични идентификатори към имената на файловете, включително ID на жертвата, имейл адреса „helpdata@zohomail.eu“ и разширението „.ELITTE87“. Например файл с име „1.pdf“ ще бъде преименуван на „1.pdf.id[9ECFA74E-3592].[helpdata@zohomail.eu].ELITTE87“ и по подобен начин „2.jpg“ ще стане „2 .jpg.id[9ECFA74E-3592].[helpdata@zohomail.eu].ELITTE87, и така нататък. Изследователите са идентифицирали ELITTE87 като вариант на рансъмуер в рамките на фамилията зловреден софтуер Phobos .

Рансъмуерът ELITTE87 може да заключва различни чувствителни и важни данни

Бележката за откуп, издадена от рансъмуера ELITTE87, доставя ярко съобщение на жертвите, като ги информира, че техните данни са криптирани и изтеглени от киберпрестъпници. Той твърди, че единственото средство за отключване на тези данни е чрез частния софтуер, предоставен от извършителите. Бележката изрично предупреждава да не се опитвате да дешифрирате данните независимо или да прибягвате до софтуер на трети страни, като предупреждава, че подобни действия могат да доведат до необратима загуба на данни.

Освен това бележката разубеждава жертвите да търсят помощ от посредници или компании за възстановяване, като намеква, че подобни усилия могат да влошат ситуацията или да доведат до по-нататъшен компромет с данни. Той гарантира на жертвите, че инцидентът с кражба на данни ще бъде запазен поверителен.

Освен това бележката за откупа обещава, че след плащането на откупа всички изтеглени данни ще бъдат изтрити от системите на киберпрестъпниците. Той подчертава, че личната информация на жертвата няма да бъде продавана или използвана злонамерено. Налага се строг срок от 2 дни за жертвата да започне контакт с киберпрестъпниците и да започне сделката за откуп.

Неспазването в рамките на този срок предполага, че задейства споделянето на данните със заинтересованите страни, като вината се хвърля директно върху жертвата. Данните за контакт, включително конкретни имейл адреси с инструкции как да комуникирате с киберпрестъпниците, са предоставени в бележката за справка на жертвата.

Рансъмуерът ELITTE87 може да направи заразеното устройство по-уязвимо за заплахи от зловреден софтуер

Рансъмуерът ELITTE87 представлява многостранна заплаха отвъд простото криптиране на файлове. Той отива крачка напред, като деактивира защитната стена на заразената система, като по този начин увеличава нейната чувствителност към по-нататъшни вредни дейности, организирани от рансъмуера. Освен това, той предприема целенасочени действия за изтриване на Shadow Volume Copies, критична функция, която потенциално може да улесни възстановяването на файлове, като по този начин засилва предизвикателствата, свързани с усилията за възстановяване на данни.

В допълнение към тези възможности, ELITTE87 показва сложни функционалности, като способността да събира данни за местоположение и да прилага механизми за устойчивост. Тези механизми позволяват на рансъмуера избирателно да изключва определени местоположения от операциите си, повишавайки ефективността му при избягване на откриването и удължавайки въздействието си върху компрометираната система. Струва си да се отбележи, че варианти на ransomware като ELITTE87, които са свързани със семейството на Phobos, често използват уязвимости в услугите на протокола за отдалечен работен плот (RDP) като средство за проникване в системи, което подчертава важността на справянето със слабостите в сигурността на такива протоколи.

Решаващи мерки, които да приложите на вашите устройства, за да ги защитите от заплахи от рансъмуер

Прилагането на важни мерки на устройствата на потребителите е от съществено значение за предпазване от заплахи от ransomware. Ето няколко ключови стъпки:

• Поддържайте софтуера актуализиран : Редовно актуализирайте операционните системи, приложенията и софтуера за сигурност на всички устройства. Актуализациите през повечето време включват корекции за известни уязвимости, които киберпрестъпниците използват, за да инсталират рансъмуер.
• Инсталирайте софтуер за сигурност : Използвайте уважаван софтуер против зловреден софтуер и го актуализирайте. Този софтуер може да открива и блокира заплахи от ransomware, преди да могат да причинят щети.
• Активирайте защитата на защитната стена : Активирайте всяка налична вградена защитна стена на устройства, за да наблюдавате и контролирате входящия и изходящия мрежов трафик, действайки като допълнителен слой на защита срещу рансъмуер и други кибер заплахи.
• Използвайте мерки за сигурност на имейла : Приложете стабилни мерки за сигурност на имейла, включително филтри за спам и сканиране на имейли за опасни прикачени файлове или връзки. Научете потребителите да разпознават опитите за фишинг и да заобикалят кликването върху съмнителни връзки или достъпа до прикачени файлове от неизвестни източници.
• Редовно архивиране на данни : Създавайте резервни копия на основни данни и се уверете, че те се съхраняват сигурно офлайн или в облака. При възникване на атака с ransomware наличието на актуални резервни копия може да помогне за възстановяване на данни, без да плащате откупа.
• Използвайте безопасни пароли и многофакторно удостоверяване (MFA) : Налагайте използването на силни, уникални пароли за всички акаунти и активирайте многофакторно удостоверяване, когато е възможно. MFA добавя повече сигурност, като изисква от потребителите да потвърдят своята самоличност чрез друг метод, като например код, изпратен на телефона им.

• Ограничете потребителските привилегии : Ограничете потребителските привилегии само до това, което е необходимо за техните роли. Това помага да се предотврати разпространението на ransomware в мрежата и достъп до чувствителни данни.

• Обучете потребителите : Осигурете редовно обучение за осведоменост относно киберсигурността на потребителите, за да ги обучите за рансъмуер, техники за фишинг, заплахи и най-добрите практики за поддържане на безопасност онлайн. Научете ги как да разпознават подозрително поведение и незабавно да докладват за потенциални инциденти със сигурността.

Чрез прилагането на тези важни мерки на устройствата на потребителите, организациите могат значително да намалят риска да станат жертва на атаки на ransomware и да смекчат потенциалното въздействие върху техните операции и данни.

Пълният текст на бележката за откуп, оставена на жертвите на рансъмуера ELITTE87 гласи:

'Your data is encrypted and downloaded!

Unlocking your data is possible only with our software.
Important! An attempt to decrypt it yourself or decrypt it with third-party software will result in the loss of your data forever.
Contacting intermediary companies, recovery companies will create the risk of losing your data forever or being deceived by these companies.
Being deceived is your responsibility! Learn the experience on the forums.

Downloaded data of your company.

Data leakage is a serious violation of the law. Don't worry, the incident will remain a secret, the data is protected.
After the transaction is completed, all data downloaded from you will be deleted from our resources. Government agencies, competitors, contractors and local media
not aware of the incident.
Also, we guarantee that your company's personal data will not be sold on DArkWeb resources and will not be used to attack your company, employees
and counterparties in the future.
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Contact us.

Write us to the e-mail:helpdata@zohomail.eu
In case of no answer in 24 hours write us to this e-mail:email.recovery24@onionmail.org
Write this ID in the title of your message: -
If you have not contacted within 2 days from the moment of the incident, we will consider the transaction not completed.
Your data will be sent to all interested parties. This is your responsibility.

Do not rename encrypted files
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'