NailaoLocker рансъмуер

Постоянно променящият се сценарий на кибернетични заплахи прави изключително важно хората и институциите да предприемат проактивни стъпки за защита на своите цифрови активи. Сред многото видове вреден софтуер, циркулиращ онлайн, рансъмуерът остава един от най-разрушителните. Рансъмуерът NailaoLocker, сравнително ново допълнение към нарастващия списък от заплахи, базирани на криптиране, е наблюдаван, насочен към организации, особено в Европа. Разбирането как работи и как да се защитим от него е от решаващо значение за минимизиране на потенциалните щети.

Как работи рансъмуерът NailaoLocker

Рансъмуерът NailaoLocker е написан на езика за програмиране C++ и е предназначен за криптиране на файлове на заразени устройства. Веднъж активиран, той систематично заключва файловете и добавя разширение „.locked“ към техните имена. Например, документ с име „report.doc“ ще бъде преименуван на „report.doc.locked“, което го прави недостъпен за жертвата. След завършване на процеса на криптиране рансъмуерът оставя бележка за откуп, съдържаща указания как да си възвърнете достъпа до засегнатите файлове.

Жертвите са информирани, че данните им ще бъдат възстановени само ако платят откуп в биткойни. Бележката предупреждава, че неизпълнението на изискванията на нападателите в рамките на една седмица ще доведе до окончателно изтриване на файла. Освен това предупреждава срещу опити за ръчно дешифриране или модифициране на заключените файлове, тъй като подобни действия могат да доведат до допълнителна загуба на данни.

Връзки към предишни киберпрестъпни дейности

NailaoLocker е наблюдаван при атаки, които имат сходства с тези, организирани от известни китайски заплахи. Въпреки че не е направено пряко приписване, изследователите спекулират, че този ransomware може да се управлява от група с връзки в Китай. Интересното е, че докато повечето съвременни кампании за рансъмуер използват двойни тактики за изнудване – кражба на чувствителни данни преди криптирането им – NailaoLocker не споменава изрично ексфилтрирането на информация в своето съобщение за откуп. Доказателствата обаче сочат, че се опитва да събере системни данни, вероятно за целите на събиране на разузнавателна информация.

Техническите ограничения на NailaoLocker

Въпреки че е разрушителна заплаха, NailaoLocker няма някои от усъвършенстваните функции, открити в по-напредналите щамове рансъмуер. Той не използва техники за отстраняване на грешки, нито се опитва да деактивира основни системни процеси, преди да започне криптиране. Това ограничение поражда опасения, че рансъмуерът може по невнимание да направи заразена система неработеща чрез криптиране на критични файлове, необходими за нейната функционалност.

Как NailaoLocker заразява системи

NailaoLocker е свързан с атаки, които използват уязвимости в софтуера Check Point VPN, по-специално пропускът, проследен като „CVE-2024-24919“. Изследователите откриха, че рансъмуерът е бил внедрен на компрометирани системи чрез други злонамерени инструменти, като злонамерения софтуер ShadowPad и троянския кон за отдалечен достъп PlugX (RAT). Тези заплахи предоставиха на нападателите отдалечен достъп до целевите машини, което им позволи да изпълнят NailaoLocker и да започнат процеса на криптиране.

Рансъмуерът обаче често се разпространява с помощта на множество тактики за разпространение. Често срещаните вектори на инфекция включват:

• Измамни имейл прикачени файлове и връзки във фишинг съобщения
• Изтегляния от компрометирани или измамни уебсайтове
• Използване на уязвимости в остарял софтуер и мрежова инфраструктура
• Фалшиви софтуерни актуализации и пиратски програми
• Троянизирани приложения, които изглеждат легитимни, но съдържат скрити заплахи
• Неоторизиран отдалечен достъп, разрешен чрез слаби пароли или изтичане на идентификационни данни

Защо плащането на откупа е рисковано

За жертвите на рансъмуер атаки възстановяването на криптирани файлове често е невъзможно без ключа за декриптиране, държан от нападателите. За съжаление, плащането на искания откуп не гарантира, че обещаният инструмент за дешифриране ще бъде предоставен. Киберпрестъпниците нямат задължение да изпълнят своята част от сделката и някои жертви се оказват плащащи големи суми само за да получат нефункционален или непълен софтуер за дешифриране. Освен това плащанията на откуп насърчават продължаването на тази незаконна дейност, финансирайки по-нататъшни киберпрестъпления.

Най-добри практики за сигурност за защита срещу рансъмуер

Предотвратяването на инфекции с ransomware изисква многопластова стратегия за сигурност, която включва както технически защити, така и информираност на потребителите. Прилагайки следните най-добри практики, рискът да станете жертва на заплахи като NailaoLocker ще бъде значително намален:

• Редовно архивиране на данни : Поддържайте множество копия на основни файлове на различни места, включително офлайн архивиране, съхранявано на външни дискове и облачно хранилище с възможности за управление на версии. Това гарантира, че дори ако файловете са криптирани, те могат да бъдат възстановени без плащане на откуп.

Рансъмуерът NailaoLocker подчертава продължаващата еволюция на киберзаплахите. Той е насочен към организации, като използва софтуерни уязвимости и слаби конфигурации за сигурност. Въпреки че този конкретен ransomware може да не е най-модерният щам, способността му да криптира файлове и да прекъсва операциите не трябва да се подценява. Внедряването на силни защити за киберсигурност, поддържането на правилни резервни копия на данни и информираността за възникващи заплахи са най-добрите начини за предотвратяване на атаки с ransomware.