LukaLocker рансъмуер

Нов участник в ransomware, използващ тактика на двойно изнудване, се появи със серия от атаки за кратък период от време. Това образувание представя иновативен злонамерен софтуер за шкафче, наречен LukaLocker Ransomware, оборудван с различни техники за избягване, за да замъгли операциите си и да възпрепятства съдебните разследвания. Идентифицирана от изследователите като „демонът на вулкана“, киберпрестъпна група привлече вниманието с новата си употреба на LukaLocker, който досега беше невиждан злонамерен софтуер за шкафчета. Файловете, шифровани от тази заплаха, се добавят с разширението „.nba“.

Тактики, наблюдавани при атаките на вулканични демони

Нападателите използват усъвършенствани методи за укриване, като внедряване на минимално регистриране на жертви и решения за наблюдение, преди да започнат атаки. Освен това те използват „заплашителни“ телефонни обаждания от номера с „No Caller ID“, за да принудят жертвите да платят откуп или да договорят условия.

Преди експлоатация, регистрационните файлове се изчистват систематично, което възпрепятства цялостния съдебномедицински анализ при открити инциденти. Групата, известна като Volcano Demon, се въздържа от поддържане на сайт за изтичане на информация, въпреки че използва двойна тактика за изнудване по време на своите операции.

По време на атаките си Volcano Demon използва компрометирани административни идентификационни данни, получени от мрежите на жертвите, за да представи Linux вариант на LukaLocker. Този зловреден софтуер ефективно криптира както работните станции на Windows, така и сървърите. Преди да внедрят рансъмуер, нападателите ексфилтрират данни към своя сървър за командване и управление (C2), като подобряват ефекта си в сценарии за двойно изнудване.

Жертвите са инструктирани да комуникират чрез софтуер за съобщения qTox и да чакат обратни повиквания за техническа поддръжка, което усложнява усилията за проследяване на комуникациите между нападателите и жертвите.

Рансъмуерът LukaLocker прекратява софтуера за сигурност и заключва данните

LukaLocker Ransomware беше открит през юни 2024 г. като x64 PE двоичен файл, разработен на C++. Според изследователите той използва обфускация на API и динамична резолюция на API, за да скрие вредните си операции, избягвайки откриване, анализ и обратно инженерство. Рансъмуерът използва шифъра Chacha8 за масово криптиране на данни. Той генерира произволен ключ Chacha8 и nonce, като използва алгоритъма за съгласуване на ключовете на Diffie-Hellman (ECDH) с елиптична крива върху Curve25519. Файловете могат да бъдат криптирани изцяло или в различни проценти, като 50%, 20% или 10%.

При изпълнение, освен ако не е посочено '--sd-killer-off', LukaLocker незабавно прекратява няколко критични услуги за сигурност и наблюдение в цялата мрежа. Те включват инструменти за защита срещу зловреден софтуер и крайни точки, решения за архивиране и възстановяване, софтуер за бази данни от Microsoft, IBM и Oracle, Microsoft Exchange Server, софтуер за виртуализация и инструменти за отдалечен достъп и наблюдение. Той също така прекратява процеси, свързани с уеб браузъри, Microsoft Office и различни приложения за облак и отдалечен достъп.

Как да защитите по-добре вашите данни и устройства от заплахи от рансъмуер?

За да защитите по-добре вашите данни и устройства от рансъмуер и заплахи от злонамерен софтуер, обмислете прилагането на следните практики:

• Поддържайте своите приложения актуализирани : Редовно актуализирайте вашата операционна система, приложения и софтуер за сигурност, за да коригирате уязвимости, които могат да бъдат използвани от зловреден софтуер.
• Използвайте силни, уникални пароли : Използвайте сложни пароли и ги променяйте често. Помислете за намиране на мениджър на пароли, за да ги следите сигурно.
• Активиране на многофакторно удостоверяване (MFA) : Добавете допълнителен слой сигурност, като активирате MFA на акаунти, които го поддържат, което прави по-трудно за нападателите да получат неоторизиран достъп.
• Редовно архивиране на данни : Създавайте и поддържайте редовни архиви на важни файлове. Съхранявайте резервни копия на отделно място, офлайн или в облака, за да гарантирате тяхната безопасност, дори ако основната ви система е компрометирана.
• Бъдете предпазливи с имейли и връзки : Избягвайте да отваряте прикачени файлове или да следвате връзки от неизвестни или подозрителни източници. Потвърдете самоличността на подателя, преди да взаимодействате с неочаквани имейли.
• Инсталирайте и поддържайте софтуер за сигурност : Използвайте реномиран софтуер против зловреден софтуер и го актуализирайте. Активирайте защитата в реално време и изпълнявайте редовни сканирания.
• Защитете мрежата си : Използвайте силна, уникална Wi-Fi парола и активирайте WPA3 криптиране. Помислете за създаване на мрежа за гости за посетители, за да запазите основната си мрежа защитена.
• Деактивирайте макросите в документите на Office : Деактивирайте макросите в документите на Microsoft Office, освен ако не се нуждаете конкретно от тях. Макросите са често срещан метод за разпространение на зловреден софтуер.
• Образовайте себе си и другите : Бъдете информирани за най-новите заплахи за киберсигурността и най-добрите практики. Обучете членове на семейството или колеги относно тактиките за фишинг и безопасното онлайн поведение.
• Използвайте защитни стени : Активирайте защитни стени на вашите устройства и мрежа, за да блокирате неоторизиран достъп и да наблюдавате входящия и изходящия трафик за подозрителна дейност.

Чрез комбиниране на тези стратегии рискът да станете жертва на ransomware и други злонамерени заплахи може да бъде намален драстично.