Theft Ransomware

Moderní prostředí hrozeb je neúprosné. Kyberzločinci neustále zdokonalují své nástroje, aby zneužili nepřipravené uživatele. Mezi nejškodlivější z těchto hrozeb patří ransomware, škodlivý software, který šifruje data a vydírá oběti o peníze. Jednou z takových nově vznikajících variant je Theft Ransomware, u kterého již bylo pozorováno, že ničí nic netušící systémy.

Co dělá ransomware s krádeží nebezpečným

Theft Ransomware je nový kmen, který je spojen s nechvalně známou rodinou ransomwarů Dharma, což je skupina známá tím, že cílí na jednotlivce i organizace. Po infiltraci zařízení malware zašifruje soubory a přejmenuje je přidáním:

• Unikátní identifikační číslo oběti
• E-mailová adresa útočníků
• Rozšíření „.theft“

Například „1.png“ se změní na „1.png.id-9ECFA84E.[datatheft@tuta.io].theft.“

Oběti jsou poté konfrontovány s žádostí o výkupné ve formě textových souborů („info.txt“) a vyskakovacího okna. Textová zpráva je sice stručná a obsahuje pouze kontaktní údaje, ale vyskakovací okno nabízí další podrobnosti, včetně ujištění, že obnova dat je možná, pokud je výkupné zaplaceno. Útočníci dokonce nabízejí „důkaz o dešifrování“ tím, že umožňují bezplatnou obnovu tří malých, nekritických souborů.

Zločinci dále zvyšují tlak tvrzením, že ukradli citlivá obchodní data a vyhrožují jejich únikem, pokud bude platba odmítnuta.

Technické charakteristiky hrozby

Stejně jako jiné varianty založené na Dharmě, ani Theft Ransomware nezamyká celé systémy, ale šifruje lokální a síťově sdílené soubory. Malware aktivně:

• Ukončí procesy vázané na používané soubory (databáze, čtečky atd.)
• Zkopíruje se do cesty %LOCALAPPDATA% a zaregistruje perzistenci pomocí klíčů Run.
• Nastaví se na automatické spuštění po restartu systému
• Odstraní stínové kopie svazků, aby se zabránilo jejich snadnému obnovení

Malware také shromažďuje geolokační data, aby určil, zda má pokračovat v šifrování, případně s vyloučením určitých oblastí.

Jak se infekce šíří

Ransomware s krádeží používá několik infiltračních taktik, přičemž nejběžnější jsou slabě zabezpečené služby RDP (Remote Desktop Protocol). Častým vstupním bodem jsou útoky hrubou silou a slovníkové útoky proti špatně chráněným účtům. Jakmile se malware dostane dovnitř, může dokonce deaktivovat firewally, aby si usnadnil provoz.

Mezi další známé distribuční kanály patří:

Phishing a sociální inženýrství – Škodlivé přílohy nebo odkazy v e-mailech, DM zprávách a příspěvcích.

Trojské koně a zadní vrátka – Používají se k tichému distribuování ransomwaru.

Škodlivá reklama a stahování souborů drive-by – Spouštějí se jednoduše návštěvou napadené webové stránky.

Podezřelé zdroje softwaru – pirátské nástroje, balíčky freewaru a falešné aktualizace.

Vyměnitelná média a lokální sítě – Umožnění šíření malwaru uvnitř systému po jeho nainstalování.

Proč je zaplacení výkupného riskantní sázkou

Dešifrování souborů zašifrovaných metodou Theft bez klíče útočníka je téměř nemožné. Zatímco některé varianty ransomwaru jsou chybné, hrozby založené na Dharmě jsou obvykle solidně postavené. Důležité je, že zaplacení výkupného neposkytuje žádnou záruku uzdravení, mnoho obětí zůstane s prázdnou i po převodu finančních prostředků. A co hůř, platba pouze financuje další kriminální operace.

Posílení obrany proti ransomwaru

Nejlepším způsobem, jak bojovat proti Theft Ransomware, je prevence. Protože odstranění malwaru automaticky neobnoví šifrované soubory, musí se uživatelé zaměřit na odolnost a proaktivní obranu. Klíčové postupy, které by si měl každý uživatel osvojit, jsou:

• Pravidelné zálohy – Uchovávejte kopie důležitých souborů na více zabezpečených místech, jako jsou offline disky a cloudové služby, které nejsou namapovány na infikovaný systém.
• Aktualizace softwaru a systémů – Aplikujte záplaty k odstranění zranitelností, které ransomware zneužívá.
• Používejte silné ověřování – Zabezpečte služby RDP pomocí jedinečných a složitých hesel a povolte vícefaktorové ověřování.
• Buďte opatrní s e-maily a odkazy – Neotevírejte neočekávané přílohy ani neklikejte na neznámé odkazy, i když se zdají být legitimní.
• Omezit oprávnění správce – Omezte oprávnění, abyste snížili dopad potenciálního spuštění malwaru.
• Nainstalujte si spolehlivé bezpečnostní nástroje – Používejte antivirová řešení s funkcemi ochrany před ransomwarem.

• Zakažte makra a skriptování – Mnoho útoků ransomwaru je spouštěno prostřednictvím dokumentů nebo skriptů sady Office.

• Segmentace sítí – Zabraňte šíření malwaru napříč podnikovým prostředím.

Závěrečné myšlenky

Krádež ransomwaru zdůrazňuje pokračující vývoj rodiny Dharma a její trvalou roli v globálních ransomwarových kampaních. Jeho kombinace šifrování, krádeží dat a vydírání ho činí obzvláště škodlivým. Vzhledem k tomu, že obnova souborů je často nemožná bez čistých záloh, jedinou skutečnou obranou je vícevrstvá prevence, silná kybernetická hygiena a spolehlivé strategie obnovy.