Traders Ransomware

Lunavara on endiselt üks kiiremini levivaid ja häirivamaid ohte, millega üksikisikud ja organisatsioonid silmitsi seisavad. Üks edukas sissetung võib krüpteerida aastatepikkuse töö, paljastada privaatseid andmeid ja põhjustada kulukaid seisakuid. Aktiivsete tüvedega kursis olemine ja kihiliste kaitsemeetmete rakendamine vähendab oluliselt nii rünnaku tõenäosust kui ka mõju.

Ohuprofiil – mis on „kauplejad”?

Traders on faile krüpteeriv lunavara, mida turvaanalüütikud on ohtude jahtimise ja pahavara uurimise käigus täheldanud. Kui see süsteemis jalga saab, krüpteerib see kasutajaandmed ja muudab failinimesid, et pantvangifaile märgistada. Seejärel nõuavad operaatorid dekrüpteerimisvõtme eest tasu, avaldades samal ajal survet andmete lekkeohtude kaudu.

Eristatavad failimarkerid – kuidas teie andmeid ümber nimetatakse

Pärast krüpteerimist lisab Traders igale kahjustatud failile ohvrispetsiifilise identifikaatori ja laiendi „.traders”. Muster sisaldab ohvri ID-d sulgudes, mis muudab ohustatud faili kaustade vahel hõlpsasti märgatavaks. Näiteks:

• 1.png-st saab 1.png.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.kauplejad
• 2.pdf-ist saab 2.pdf.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.kauplejad

Lunaraha märkus – ründajate nõudmised ja väited

Traders saadab teate nimega „README.TXT”. Teates öeldakse, et dokumendid, fotod, andmebaasid ja muud väärtuslikud failid krüpteeriti ning väidetakse, et taastamiseks on vaja ründajate käes olevat unikaalset privaatvõtit. Tavaliselt takistab teade iseseisev dekrüpteerimiskatsete tegemist, hoiatades, et sobimatud tööriistad võivad andmeid pöördumatult rikkuda. See annab kontaktandmed, e-posti aadressi („traders@mailum.com”) ja seansi sõnumitooja ID, mille kaudu ohvreid juhendatakse läbirääkimisteks.

Topeltväljapressimine — andmevargus kui võimendusvahend

Lisaks krüpteerimisele ähvardab kiri, et väljafiltreeritud andmed müüakse või avaldatakse, kui makset ei sooritata. See „topeltväljapressimise“ taktika püüab varukoopiatele lootvaid ohvreid sundida, lisades võrrandisse maine-, õigus- ja privaatsusriske.

Taastumise reaalsus – mis tegelikult aitab

Tänapäevase lunavara poolt lukustatud faile ei ole tavaliselt võimalik ründajate dekrüpteerijata taastada. Praktilised taastamisvõimalused piirduvad puhaste ja võrguühenduseta varukoopiatega, mis intsidendi ajal ligipääsmatud olid. Lunaraha maksmist tungivalt ei soovitata: toimivate dekrüpteerimisvahendite saamine pole garanteeritud ja maksmine õhutab edasist kuritegevust.

Ohjeldamine ja hävitamine – viivitamatud meetmed

Kui Traders tuvastatakse, isoleerige nakatunud masinad kohe võrgust, et peatada edasine krüpteerimine ja külgmine levik. Säilitage kohtuekspertiisi esemeid, sealhulgas lunaraha nõue, krüptitud failide näidised ja asjakohased logid. Kasutage usaldusväärset pahavaravastast/EDR-lahendust, et eemaldada kasulik koormus ja kõik püsivusmehhanismid. Pärast hävitamist taastage või looge uuesti kahjustatud süsteemid, vahetage volitusi ning auditeerige juurdepääsuvõtmeid ja tokeneid. Alles seejärel peaksite alustama andmete taastamist kontrollitud varukoopiatest, jälgides samal ajal hoolikalt uuesti nakatumist.

Esialgne juurdepääs ja edastamine – kuidas kauplejad süsteemidega kokku puutuvad

Nagu paljud lunavara perekonnad, levib ka Traders mitme kanali kaudu. Levinud sisenemispunktide hulka kuuluvad pahatahtlikud e-kirjade manused või lingid, trooja või piraattarkvara (sh võtmegeneraatorid ja kräkid), võltsitud tehnilise toe peibutised ja parandamata haavatavuste ärakasutamine. Ohutajad kuritarvitavad ka pahavara levitamist, ohustatud või sarnaseid veebisaite, nakatunud eemaldatavaid andmekandjaid, P2P-võrke, kolmandate osapoolte allalaadimisportaale ja lõksudega failitüüpe, näiteks käivitatavaid installifaile, makrode või skriptidega Office'i või PDF-dokumente ning tihendatud arhiive (ZIP/RAR), mis pakivad lahti droppereid.

Tugevdage oma kaitset – olulised turvapraktikad

• Hoidke võrguühenduseta varukoopiaid.
• Paigaldage kiired parandused. Eelistage internetipõhiseid teenuseid ja võimaluse korral toetage automaatseid värskendusi.
• Kasutage usaldusväärset turvatarkvara, mis pakub reaalajas kaitset, käitumise blokeerimist ja kontrollitud kaustadele juurdepääsu.
• Tugevda RDP ja kaugjuurdepääsu. Keelake vajadusel, piirake lubatud nimekirja/VPN-iga, nõudke mitmekordset autentimist ja jälgige jõuvõtetega või anomaalseid sisselogimisi.
• Keela riskantsed makrod ja skriptid. Blokeeri Office'i makrode juurdepääs internetile, piira PowerShelli keelerežiimi mitte-administraatorite jaoks ja auditeeri skriptide täitmist.
• Turvalised brauserid ja allalaadimised. Kasutage ainult usaldusväärseid teenuseid, blokeerige teadaolevaid pahatahtlikke domeene ja vältige kolmandate osapoolte allalaadijaid ja P2P-allikaid.

Lõppmõtted

Kauplejate lunavara ühendab tugeva krüpteerimise väljapressimissurvega, muutes ettevalmistuse parimaks kaitseks. Hoidke süsteemid turvapaigas, jõustage vähimõigustega juurdepääs, rakendage võimekat lõpp-punkti kaitset, segmenteerige võrke ja mis kõige tähtsam, hoidke testitud võrguühenduseta varukoopiaid. Kui teie süsteem on juba mõjutatud, keskenduge pigem ohjeldamisele ja professionaalsele parandusele kui maksmisele.