Theft Ransomware

Nykyaikainen uhkaympäristö on armoton. Kyberrikolliset hiovat jatkuvasti työkalujaan hyödyntääkseen valmistautumattomia käyttäjiä. Näistä uhkista vahingollisimpia ovat kiristysohjelmat eli haittaohjelmat, jotka salaavat tietoja ja kiristävät uhreilta rahaa. Yksi tällainen nouseva variantti tunnetaan nimellä Theft Ransomware, jonka on jo havaittu aiheuttavan tuhoa tietämättömissä järjestelmissä.

Mikä tekee varkauskiristyshaittaohjelmista vaarallisia

Theft Ransomware on uusi virustyyppi, joka liittyy pahamaineiseen Dharma-kiristysohjelmaperheeseen, ryhmään, joka tunnetaan sekä yksilöiden että organisaatioiden hyökkäyksistä. Laitteeseen tunkeutuessaan haittaohjelma salaa tiedostot ja nimeää ne uudelleen lisäämällä niihin seuraavat osat:

• Yksilöllinen uhrin tunniste
• Hyökkääjien sähköpostiosoite
• ’.theft’-tiedostopääte

Esimerkiksi tiedostosta '1.png' tulee muotoon '1.png.id-9ECFA84E.[datatheft@tuta.io].theft.'

Uhrit näkevät sitten lunnasvaatimukset tekstitiedostojen ('info.txt') ja ponnahdusikkunan muodossa. Vaikka tekstiviesti on ytimekäs ja sisältää vain yhteystiedot, ponnahdusikkuna tarjoaa lisätietoja, kuten vakuutuksen siitä, että tietojen palauttaminen on mahdollista, jos lunnaat maksetaan. Hyökkääjät tarjoavat jopa "salauksen purun todisteen" sallimalla kolmen pienen, ei-kriittisen tiedoston palauttamisen ilmaiseksi.

Paineita lisäävät rikolliset väittävät varastaneensa arkaluonteisia yritystietoja ja uhkaavat vuotaa ne, jos maksu evätään.

Uhan tekniset ominaisuudet

Kuten muutkin Dharma-pohjaiset variantit, Theft Ransomware ei lukitse kokonaisia järjestelmiä, vaan salaa paikalliset ja verkossa jaetut tiedostot. Haittaohjelma aktiivisesti:

• Lopettaa käytössä oleviin tiedostoihin (tietokannat, lukijat jne.) sidotut prosessit
• Kopioi itsensä %LOCALAPPDATA%-polkuun ja rekisteröi pysyvyyden suoritusavainten kautta.
• Asettaa itsensä käynnistymään automaattisesti järjestelmän uudelleenkäynnistyksen yhteydessä
• Poistaa aseman varjokopiot estääkseen helpon palautuksen

Haittaohjelma kerää myös geolokaatiotietoja määrittääkseen, jatketaanko salausta, mahdollisesti sulkemalla pois tiettyjä alueita.

Miten tartunta leviää

Kiristyshaittaohjelmat käyttävät useita tunkeutumistaktiikoita, joista yleisimpiä ovat heikosti suojatut RDP (Remote Desktop Protocol) -palvelut. Raaka voima- ja sanakirjahyökkäykset heikosti suojattuja tilejä vastaan ovat yleinen pääsykohta. Sisään päästyään haittaohjelma voi jopa poistaa palomuurit käytöstä helpottaakseen toimintaansa.

Muita tunnettuja jakelukanavia ovat mm.

Tietojenkalastelu ja sosiaalinen manipulointi – Haitalliset liitteet tai linkit sähköposteissa, yksityisviesteissä ja julkaisuissa.

Troijalaiset ja takaportit – Käytetään kiristyshaittaohjelmien hiljaiseen pudottamiseen.

Haittamainonta ja tahattomat lataukset – Laukaisevat yksinkertaisesti käymällä vaarantuneella verkkosivustolla.

Epäilyttävät ohjelmistolähteet – Piraattityökalut, ilmaisohjelmien paketit ja väärennetyt päivitykset.

Irrotettavat tallennusvälineet ja lähiverkot – Mahdollistavat haittaohjelman leviämisen sisäisesti sen päästyä järjestelmään.

Miksi lunnaiden maksaminen on riskialtista

Varkaukseksi salattujen tiedostojen salauksen purkaminen ilman hyökkääjän avainta on lähes mahdotonta. Vaikka joissakin kiristyshaittaohjelmien varianteissa on virheitä, Dharma-pohjaiset uhat ovat yleensä vankasti rakennettuja. On tärkeää huomata, että lunnaiden maksaminen ei takaa toipumista, ja monet uhrit jäävät tyhjin käsin jopa varojen siirtämisen jälkeen. Mikä pahinta, maksaminen vain rahoittaa lisää rikollisia toimia.

Puolustuksesi vahvistaminen kiristysohjelmia vastaan

Paras tapa torjua kiristyshaittaohjelmia on ennaltaehkäisy. Koska haittaohjelman poistaminen ei automaattisesti palauta salattuja tiedostoja, käyttäjien on keskityttävä sietokykyyn ja ennakoivaan puolustukseen. Keskeiset käytännöt, joita jokaisen käyttäjän tulisi noudattaa, ovat:

• Säännölliset varmuuskopiot – Säilytä tärkeiden tiedostojen kopioita useissa suojatuissa paikoissa, kuten offline-asemilla ja pilvipalveluissa, joita ei ole yhdistetty tartunnan saaneeseen järjestelmään.
• Päivitä ohjelmistoja ja järjestelmiä – Asenna korjauksia kiristysohjelmien hyödyntämien haavoittuvuuksien poistamiseksi.
• Käytä vahvaa todennusta – Suojaa RDP-palvelut yksilöllisillä ja monimutkaisilla salasanoilla ja ota käyttöön monivaiheinen todennus.
• Ole varovainen sähköpostien ja linkkien kanssa – Älä avaa odottamattomia liitteitä tai napsauta tuntemattomia linkkejä, vaikka ne vaikuttaisivat oikeilta.
• Rajoita järjestelmänvalvojan oikeuksia – Rajoita käyttöoikeuksia mahdollisten haittaohjelmien suorittamisen vaikutusten vähentämiseksi.
• Asenna hyvämaineisia tietoturvatyökaluja – Käytä haittaohjelmien torjuntaratkaisuja, joissa on kiristysohjelmien torjuntaominaisuuksia.

• Poista makrot ja komentosarjat käytöstä – Monet kiristysohjelmahyökkäykset laukaistaan Office-asiakirjojen tai komentosarjojen kautta.

• Segmentoi verkot – Estä haittaohjelmien leviäminen sivusuunnassa liiketoimintaympäristöissä.

Loppuajatukset

Theft Ransomware korostaa Dharma-perheen jatkuvaa kehitystä ja sen pysyvää roolia maailmanlaajuisissa kiristysohjelmakampanjoissa. Sen salauksen, tietovarkauksien ja kiristyksen yhdistelmä tekee siitä erityisen vahingollisen. Koska tiedostojen palauttaminen on usein mahdotonta ilman puhtaita varmuuskopioita, ainoa todellinen puolustuskeino on kerroksellinen ehkäisy, vahva kyberhygienia ja luotettavat palautusstrategiat.