LukaLocker Ransomware

Uusi lunnasohjelmatoimija, joka käyttää kaksinkertaista kiristystaktiikkaa, on noussut esiin sarjalla hyökkäyksiä lyhyen ajan sisällä. Tämä kokonaisuus esittelee innovatiivisen kaappihaittaohjelman nimeltä LukaLocker Ransomware, joka on varustettu erilaisilla evaasiotekniikoilla sen toiminnan hämärtämiseksi ja oikeuslääketieteellisten tutkimusten estämiseksi. Tutkijoiden "tulivuoren demoniksi" tunnistama kyberrikollisryhmä on herättänyt huomiota LukaLockerin uudella tavalla, joka oli ennen näkemätön kaappihaittaohjelma. Tämän uhan salaamat tiedostot on liitetty .nba-tunnisteella.

Tulivuoren demonien hyökkäyksissä havaittu taktiikka

Hyökkääjät käyttävät kehittyneitä väistömenetelmiä, kuten minimaalisen uhrien kirjaamisen ja valvontaratkaisujen käyttöönottoa ennen hyökkäysten aloittamista. Lisäksi he käyttävät "uhkaavia" puheluita "ei soittajatunnusta" -numeroista pakottaakseen uhrit maksamaan lunnaita tai neuvottelemaan ehdoista.

Ennen hyväksikäyttöä lokit tyhjennetään järjestelmällisesti, mikä estää kattavan rikosteknisen analyysin havaituista tapahtumista. Ryhmä, joka tunnetaan nimellä Volcano Demon, pidättäytyy ylläpitämästä vuotopaikkaa huolimatta siitä, että se on käyttänyt kaksinkertaista kiristystaktiikkaa toimintansa aikana.

Hyökkäyksiensä aikana Volcano Demon käyttää uhriverkostoilta saatuja vaarantuneita hallinnollisia valtuuksia esitelläkseen LukaLockerin Linux-version. Tämä haittaohjelma salaa tehokkaasti sekä Windows-työasemat että palvelimet. Ennen kiristysohjelmien käyttöönottoa hyökkääjät suodattavat tietoja Command-and-Control-palvelimelleen (C2), mikä parantaa heidän vaikutustaan kaksoiskiristysskenaarioissa.

Uhreja neuvotaan kommunikoimaan qTox-viestiohjelmiston kautta ja odottamaan takaisinsoittoja teknisen tuen saamiseksi, mikä vaikeuttaa hyökkääjien ja uhrien välisen viestinnän jäljittämistä.

LukaLocker Ransomware lopettaa suojausohjelmiston ja lukitsee tiedot

LukaLocker Ransomware löydettiin kesäkuussa 2024 x64 PE-binaarina, joka on kehitetty C++:ssa. Tutkijoiden mukaan se käyttää API-hämiöintiä ja dynaamista API-resoluutiota peittämään haitalliset toiminnot, välttäen havaitsemisen, analyysin ja käänteisen suunnittelun. Kiristysohjelma käyttää Chacha8-salausta tietojen joukkosalaamiseen. Se luo satunnaisen Chacha8-avaimen ja nonce-avaimen käyttämällä elliptisen käyrän Diffie-Hellman (ECDH) -avaimen sopimusalgoritmia Curve25519:n kautta. Tiedostot voidaan salata kokonaan tai eri prosenttiosuuksilla, kuten 50%, 20% tai 10%.

LukaLocker katkaisee välittömästi useita kriittisiä tietoturva- ja valvontapalveluita verkossa, ellei "--sd-killer-off" ole määritetty suorituksen yhteydessä. Näitä ovat haittaohjelmien torjunta- ja päätepisteiden suojaustyökalut, varmuuskopiointi- ja palautusratkaisut, Microsoftin, IBM:n ja Oraclen tietokantaohjelmistot, Microsoft Exchange Server, virtualisointiohjelmistot sekä etäkäyttö- ja valvontatyökalut. Se myös lopettaa verkkoselaimiin, Microsoft Officeen ja erilaisiin pilvi- ja etäkäyttösovelluksiin liittyvät prosessit.

Kuinka suojata tietosi ja laitteesi paremmin kiristysohjelmien uhilta?

Voit suojata tietojasi ja laitteitasi paremmin kiristysohjelmilta ja haittaohjelmilta ottamalla käyttöön seuraavat käytännöt:

• Päivitä sovelluksesi : Päivitä säännöllisesti käyttöjärjestelmäsi, sovelluksesi ja tietoturvaohjelmistosi korjaamaan haavoittuvuuksia, joita haittaohjelmat voivat hyödyntää.
• Käytä vahvoja, ainutlaatuisia salasanoja : Käytä monimutkaisia salasanoja ja vaihda niitä usein. Harkitse salasananhallinnan etsimistä, jotta voit seurata niitä turvallisesti.
• Ota käyttöön monivaiheinen todennus (MFA) : Lisää ylimääräinen suojaustaso ottamalla MFA käyttöön sitä tukevilla tileillä, mikä vaikeuttaa hyökkääjien luvatonta pääsyä.
• Varmuuskopioi tiedot säännöllisesti : Luo ja ylläpidä säännöllisiä varmuuskopioita tärkeistä tiedostoista. Tallenna varmuuskopiot erilliseen paikkaan, joko offline-tilassa tai pilvessä, varmistaaksesi niiden turvallisuuden, vaikka pääjärjestelmäsi vaarantuisi.
• Ole varovainen sähköpostien ja linkkien kanssa : Vältä avaamasta liitteitä tai seuraamasta tuntemattomista tai epäilyttävistä lähteistä peräisin olevia linkkejä. Vahvista lähettäjän henkilöllisyys ennen kuin käsittelet odottamattomia sähköposteja.
• Asenna ja ylläpidä suojausohjelmistoa : Käytä hyvämaineisia haittaohjelmien torjuntaohjelmistoja ja pidä se ajan tasalla. Ota reaaliaikainen suojaus käyttöön ja suorita säännöllisiä tarkistuksia.
• Suojaa verkkosi : Käytä vahvaa, ainutlaatuista Wi-Fi-salasanaa ja ota WPA3-salaus käyttöön. Harkitse vierasverkon perustamista vierailijoille pitääksesi ensisijaisen verkkosi turvassa.
• Poista makrot käytöstä Office-asiakirjoissa : Poista makrot käytöstä Microsoft Office -asiakirjoissa, ellet niitä erityisesti tarvitse. Makrot ovat yleinen tapa levittää haittaohjelmia.
• Kouluta itseäsi ja muita : Pysy ajan tasalla uusimmista kyberturvallisuusuhkista ja parhaista käytännöistä. Opeta perheenjäseniä tai työtovereita tietojenkalastelutaktiikoista ja turvallisesta verkkokäyttäytymisestä.
• Käytä palomuureja : Ota palomuurit käyttöön laitteissasi ja verkossasi estämään luvaton käyttö ja tarkkailemaan saapuvaa ja lähtevää liikennettä epäilyttävän toiminnan varalta.

Yhdistämällä näitä strategioita, riskiä joutua kiristysohjelmien ja muiden haittaohjelmauhkien uhriksi voidaan vähentää huomattavasti.