Solara Ransomware

Το Solara είναι ένα πρόσφατα παρατηρημένο στέλεχος ransomware που οι ερευνητές λένε ότι βασίζεται στον δημόσια κυκλοφορούντα οικογενειακό κώδικα Chaos. Ransomware όπως το Solara κρυπτογραφεί τα αρχεία των χρηστών, απαιτεί πληρωμή και μπορεί να διαταράξει μόνιμα την πρόσβαση σε σημαντικά δεδομένα, επομένως η προστασία των συσκευών και των αντιγράφων ασφαλείας είναι απαραίτητη.

ΤΙ ΚΑΝΕΙ Η ΣΟΛΑΡΑ

Κατά τη διάρκεια της ανάλυσης, παρατηρήθηκε ότι το Solara κρυπτογραφεί αρχεία και προσθέτει τη συμβολοσειρά κειμένου '.solara' στα ονόματα αρχείων (για παράδειγμα, '1.png' → '1.png.solara'). Το κακόβουλο λογισμικό εμφανίζει επίσης ένα σημείωμα λύτρων με το όνομα 'read_it.txt' που ισχυρίζεται ότι το θύμα ενεργοποίησε μια προστασία 'anti-crack' και δίνει οδηγίες στα θύματα να αποκτήσουν ένα εργαλείο αποκρυπτογράφησης από έναν διαδικτυακό δράστη. Αρκετά άρθρα και δείγματα αναλύσεων συνδέουν το Solara με την οικογένεια ransomware Chaos και περιγράφουν παρόμοια συμπεριφορά (κρυπτογράφηση, αντικατάσταση επέκτασης και σημείωμα λύτρων σε απλό κείμενο).

ΣΗΜΕΙΩΜΑ ΑΝΤΙΠΡΟΣΩΠΕΥΣΗΣ & ΑΠΑΙΤΗΣΕΙΣ ΠΛΗΡΩΜΗΣ

Το μήνυμα λύτρων που εξέτασαν οι αναλυτές υποστηρίζει ότι η ανάκτηση αρχείων είναι «σχεδόν αδύνατη» χωρίς το εργαλείο αποκρυπτογράφησης του εισβολέα. Το σημείωμα δίνει οδηγίες στα θύματα να επικοινωνήσουν με έναν χρήστη του Discord (xenqxd) και προτείνει επιλογές πληρωμής όπως Paysafecard (στην Πολωνία) ή ένα μικρό ποσό Bitcoin. Αξίζει να σημειωθεί ότι ορισμένα δείγματα παραλείπουν ουσιαστικά κανάλια επικοινωνίας, τα οποία μπορεί να υποδηλώνουν μια ανώριμη ή φάρσα καμπάνια ή χειριστές που απλώς δεν περιμένουν να διαπραγματευτούν. Αντιμετωπίστε όλες αυτές τις απαιτήσεις με εξαιρετική καχυποψία.

ΜΠΟΡΕΙΤΕ ΝΑ ΑΝΑΚΤΗΣΕΤΕ ΑΡΧΕΙΑ ΧΩΡΙΣ ΝΑ ΠΛΗΡΩΣΕΤΕ;

Γενικά, τα αρχεία που κρυπτογραφούνται από απειλές Chaos-family δεν είναι ανακτήσιμα χωρίς το κατάλληλο κλειδί αποκρυπτογράφησης. Εάν έχετε καθαρά, αντίγραφα ασφαλείας εκτός σύνδεσης από πριν από τη μόλυνση, η επαναφορά τους είναι η ασφαλέστερη συνιστώμενη οδός. Η πληρωμή αποθαρρύνεται, οι εγκληματίες συχνά δεν παρέχουν χρησιμοποιήσιμα αποκρυπτογραφικά εργαλεία και η πληρωμή χρηματοδοτεί περαιτέρω εγκληματική δραστηριότητα.

ΣΥΝΗΘΕΙΣ ΦΟΡΕΙΣ ΛΟΙΜΩΞΕΩΝ

• Πειρατικό λογισμικό, keygens και «σπασμένα» βοηθητικά προγράμματα μεταμφιεσμένα σε κακόβουλο λογισμικό.
• Κακόβουλα συνημμένα και σύνδεσμοι email (μακροεντολές του Office, δέσμες ενεργειών, EXE).
• Μολυσμένες διαφημίσεις, παραβιασμένες ή ανεπίσημες ιστοσελίδες λήψης, δίκτυα P2P/torrent, μονάδες USB και προγράμματα λήψης τρίτων.

ΑΜΕΣΗ ΕΝΕΡΓΕΙΑ ΑΝ ΥΠΟΨΙΩΘΕΤΕ ΛΟΙΜΩΞΗ

Απομονώστε αμέσως το μηχάνημα : αποσυνδέστε από τα δίκτυα (ενσύρματα/Wi-Fi) και αποσυνδέστε τυχόν κοινόχρηστες/δικτυακές μονάδες δίσκου για να σταματήσετε την πλευρική εξάπλωση.

Διατήρηση αποδεικτικών στοιχείων : μην κάνετε κυκλική επανεκκίνηση εάν συλλέγετε μνήμη ή εγκληματολογικά αντικείμενα, αντίθετα καταγράψτε εικόνες μνήμης και δίσκου εάν έχετε τη δυνατότητα ή καλέστε την απόκριση σε περιστατικά.

Χρήση αντιγράφων ασφαλείας : Πραγματοποιήστε επαναφορά από αξιόπιστα αντίγραφα ασφαλείας μόλις αφαιρεθεί το κακόβουλο λογισμικό και τα συστήματα ανακατασκευαστούν. Μην επαναφέρετε αντίγραφα ασφαλείας που ενδέχεται να ήταν συνδεδεμένα κατά τη στιγμή της μόλυνσης.

Μην πληρώνετε εκτός εάν μια ομάδα αντιμετώπισης περιστατικών έχει αξιολογήσει όλες τις επιλογές και τις συνέπειες. Η πληρωμή δεν είναι εγγυημένη ότι θα λειτουργήσει και μπορεί να ενθαρρύνει μελλοντικές επιθέσεις.

ΒΕΛΤΙΣΤΕΣ ΠΡΑΚΤΙΚΕΣ ΑΣΦΑΛΕΙΑΣ

Διατηρήστε μια ενημερωμένη, πολυεπίπεδη άμυνα που περιλαμβάνει τις ακόλουθες πρακτικές στις καθημερινές λειτουργίες:

Διαχείριση ενημερώσεων κώδικα : εφαρμογή ενημερώσεων ασφαλείας λειτουργικού συστήματος και εφαρμογών άμεσα. Πολλά στελέχη ransomware εκμεταλλεύονται γνωστά και ενημερωμένα ευάλωτα σημεία.

Ελάχιστα προνόμια και υγιεινή λογαριασμού : εκτέλεση χρηστών με λογαριασμούς που δεν είναι διαχειριστές, επιβολή ισχυρού πολυπαραγοντικού ελέγχου ταυτότητας για απομακρυσμένη πρόσβαση και προνομιούχους λογαριασμούς και παρακολούθηση για ασυνήθιστη συμπεριφορά σύνδεσης.

Στρατηγική δημιουργίας αντιγράφων ασφαλείας : Δημιουργήστε αντίγραφα ασφαλείας τακτικά και φυλάξτε τα ξεχωριστά από το δίκτυο. Άλλωστε, τα αντίγραφα ασφαλείας είναι ο πιο αποτελεσματικός τρόπος ελέγχου ανάκτησης από επιθέσεις κρυπτογράφησης.

Προστασία τερματικών σημείων και EDR : αναπτύξτε αξιόπιστες λύσεις ανίχνευσης και απόκρισης τερματικών σημείων που μπορούν να ανιχνεύσουν ανωμαλίες εκτέλεσης, να μπλοκάρουν κακόβουλα φορτία και να επιτρέψουν τον γρήγορο περιορισμό. Διατηρήστε ενεργοποιημένες τις υπογραφές και την τηλεμετρία.

Εκπαίδευση χρηστών και αντίσταση στο ηλεκτρονικό "ψάρεμα" (phishing) : εκπαιδεύστε τους χρήστες ώστε να αποφεύγουν την εκτέλεση cracks/keygens, να επαληθεύουν τους αποστολείς email και τους συνδέσμους και να αντιμετωπίζουν τα μη αναμενόμενα συνημμένα με καχυποψία. Οι προσομοιωμένες εκστρατείες ηλεκτρονικού "ψαρέματος" (phishing) και ευαισθητοποίησης μειώνουν τον ανθρώπινο παράγοντα κινδύνου.

Στοιχεία ελέγχου εφαρμογών και περιορισμοί μακροεντολών : απενεργοποιήστε τις μακροεντολές του Office από προεπιλογή, αποκλείστε την εκτέλεση από συνήθεις τοποθεσίες κατάχρησης (π.χ., %AppData%, προσωρινοί φάκελοι) και χρησιμοποιήστε τη λίστα επιτρεπόμενων εφαρμογών όπου είναι εφικτό.

ΤΕΛΙΚΕΣ ΣΗΜΕΙΩΣΕΙΣ

Το Solara παρουσιάζει κοινούς κινδύνους που συνδέονται με τους δημόσια διαθέσιμους κατασκευαστές ransomware: οι διακλαδώσεις (forks) και οι παραλλαγές πολλαπλασιάζονται και οι επιτιθέμενοι προσαρμόζουν συνεχώς τις μεθόδους διανομής για να στοχεύσουν συγκεκριμένες κοινότητες (οι αναφορές επισημαίνουν τα φόρουμ παιχνιδιών και τα κανάλια πειρατικού λογισμικού ως πιθανά δολώματα). Οι καλύτερες άμυνες είναι η πρόληψη, τα ισχυρά αντίγραφα ασφαλείας, ο γρήγορος περιορισμός και η συνεργασία με εκπαιδευμένες ομάδες απόκρισης, αντί της πληρωμής λύτρων. Εάν υποψιάζεστε παραβίαση και χρειάζεστε βοήθεια με βήμα προς βήμα για τον καθαρισμό, συλλέξτε δείγματα δεικτών (ονόματα αρχείων, hashes, κείμενο σημείωσης ransomware) και συμβουλευτείτε έναν αξιόπιστο πάροχο απόκρισης σε περιστατικά ή τον προμηθευτή ασφαλείας σας για καθοδήγηση σχετικά με τον περιορισμό και την ανάκτηση.