תוכנת הכופר DeadLock

קמפיינים מודרניים של תוכנות כופר נועדו במיוחד להפוך את הנתונים האישיים או הארגוניים שלך למינוף. לאחר שקבצים קריטיים מוצפנים, התוקפים מחזיקים בכל הקלפים, אלא אם כן התכוננת מראש. היגיינת אבטחה חזקה, הגנות רב-שכבתיות ואסטרטגיות גיבוי עמידות מפחיתות באופן דרמטי את הסיכוי שקובץ מצורף זדוני יחיד, מתקין פרוץ או הורדה סוררת יובילו לשיבוש עסקי או לאובדן נתונים קבוע. תוכנת הכופר DeadLock היא דוגמה טובה מדוע יסודות אלה חשובים.

מה שמייחד את DeadLock

DeadLock היא משפחת תוכנות כופר להצפנת קבצים, אשר מתייגת כל קורבן במזהה ייחודי. במהלך מתקפה, היא מערבבת את נתוני המשתמש ומשנה את שם כל קובץ מוצפן על ידי הוספת מזהה הקורבן וסיומת '.dlock' לשם הקובץ המקורי. לדוגמה: '1.png' הופך ל-'1.png.F8C6A8.dlock' ו-'2.pdf' הופך ל-'2.pdf.F8C6A8.dlock'. מזהה זה משמש לאורך כל תהליך הסחיטה כדי לעקוב אחר הקורבן ולקשר תשלומים למפתחות פענוח. DeadLock גם שולח הודעת כופר ששם הקובץ שלו מטמיע את אותו מזהה (למשל, "READ ME.F8C6A8.txt") ומשנה את טפט שולחן העבודה כדי לחזק את העובדה שהמערכת נפגעה.

בתוך שטר הכופר

ההערה מעלה מספר נקודות מפתח שנועדו לכוון את צעדיו הבאים של הקורבן. היא טוענת כי לא ניתן לשחזר קבצים מוצפנים ללא "מפתח פענוח ייחודי" שרק לתוקפים נמצא ברשותם. הקורבנות מתבקשים להתקין את שירות Session Messenger המתמקד בפרטיות וליצור קשר באמצעות מזהה Session שסופק (שוב, תוך מיפוי חזרה למזהה של כל קורבן המוטמע בשמות הקבצים). התוקפים מבקשים מהקורבן לשלוח קובץ מוצפן אחד בתוספת "המפתח האישי" (המזהה הייחודי שלו) לאימות. זוהי טקטיקה נפוצה שנועדה לבנות אמון על ידי פענוח דגימה בלתי מזיקה.

טקטיקות תשלום ולחץ

מפעילי DeadLock דורשים קריפטו, במיוחד ביטקוין או מונרו. הם מבטיחים שלאחר התשלום יספקו כלי פענוח תקין. כמו ברוב פעולות הכופר, אין ערובה ניתנת לאכיפה. ההערה גם משתמשת בפחד כדי להרתיע ניסיונות שחזור עצמאיים: היא מזהירה את הקורבנות לא לשנות שם של קבצים מוצפנים ולא לנסות כלי פענוח של צד שלישי, בטענה שפעולות כאלה עלולות לפגוע בנתונים לצמיתות או להעלות את מחיר השחזור. אזהרות אלו הן בחלקן טכניות (טיפול לא נכון אכן יכול לסבך את השחזור) ובחלקן לחץ פסיכולוגי.

בדיקת מציאות של פענוח

ניסיון עם תוכנות כופר באופן כללי, והמסרים של המפעילים עצמם, תומכים באמת קשה: ברוב המקרים, לא ניתן לפענח קבצים מעורבבים על ידי DeadLock ללא שיתוף פעולה וכלים של התוקפים. זה משאיר שני נתיבי שחזור ריאליים: (1) גיבויים פעילים שהיו לא מקוונים, מחוץ לאתר, עם גרסאות או שלא היו נגישים לתוכנה הזדונית בזמן ההתקפה; או (2) תשלום הכופר ולקוות שהפושעים יכבדו את העסקה. תשלום הוא מסוכן: תוקפים עלולים להיעלם, למסור כלי פענוח שבור, או להשתמש בתשלום כסימן לכך שאתם מטרה רכה לסחיטה עתידית. במידת האפשר, הסתמכו על גיבויים שלא הושפעו במקום לבצע תשלום כופר.

למה הסרה מלאה חשובה

אפילו לאחר השלמת ההצפנה, השארת תוכנת הכופר במערכת מסוכנת. רכיבים שיוריים עלולים להצפין מחדש קבצים חדשים שנוצרו, לאסוף אישורים, לפתוח דלתות אחוריות או לנסות לנוע לרוחב הרשת המקומית. הסרת תוכנה, המגובה בסריקת נקודות קצה, בדיקת זיכרון וסקירה של משימות מתוזמנות, ערכי הפעלה ובקרי תחום, היא קריטית למניעת נזק חוזר.

וקטורים נפוצים של זיהום DeadLock

תוקפים זקוקים לעמדת דריסת רגל ראשונית. קמפיינים של תוכנות כופר נקשרו לערוצי הפצה מרובים המנצלים את אמון המשתמשים, סקרנותם וקיצורי דרך לחיסכון בעלויות:

• תוכנות מסחריות פיראטיות או 'פרוצות', כולל מחוללי מפתחות וכלים לעקיפת רישיונות כלולים שמתקינים בסתר תוכנות זדוניות.
• פיצוח תוכנה, קיגנים (keygens) ופעילים לא רשמיים שנשלפו מאתרי וורז או טורנט.
• קבצים מצורפים זדוניים לדוא"ל: מסמכי Word ממולאים (לעתים קרובות מאופשרים על ידי מאקרו), קבצי PDF, ארכיוני ZIP, קבצי סקריפט או מטענים ניתנים להפעלה במסווה של חשבוניות, הודעות משלוח או טפסי משאבי אנוש דחופים.
• פרסום זדוני (פרסומות זדוניות) שמפנה משתמשים לערכות ניצול לרעה או לדפי הורדה זדוניים.
• פלטפורמות שיתוף עמית לעמית ומרכזי הורדה של צד שלישי שאורזים מחדש את מתקינים עם מטענים נסתרים.
• מדיה נשלפת (למשל, כונני USB נגועים) שמופעלת אוטומטית או מפתה משתמשים להפעיל קבצים מזוהמים.
• פורטלים מזויפים של תמיכה טכנית שלוחצים על משתמשים להוריד 'תיקונים' או 'עדכונים' המכילים בפועל את טוען תוכנות הכופר.
• אתרים לגיטימיים שנפרצו, שהוזרמו בהם הורדות Drive-By או סקריפטים שהוזרקו להעברת המטען.

שיטות אבטחה מומלצות לחיזוק ההגנה שלך

אבטחה שכבתית מפחיתה באופן דרמטי את רדיוס הפיצוץ של אירוע כופר. להלן צעדים הגנתיים עדיפים המסייעים במניעת הצלחת DeadLock ואיומים דומים:

• שמור גיבויים אמינים ולא מקוונים של נתונים קריטיים.
• תקנו במהירות מערכות הפעלה, יישומים וקושחה, במיוחד שירותים וחבילות פרודוקטיביות חשופות הנוטות לניצול לרעה של מאקרו או ניצול לרעה.
• השתמשו בהגנה על נקודות קצה/EDR בעלת מוניטין עם זיהוי תוכנות כופר מבוססות התנהגות ובידוד אוטומטי.
• אכיפת חשבונות משתמשים בעלי הרשאות נמוכות ביותר; השבתת מנהל מקומי היכן שאינו נדרש; הפרדת אישורי מנהל משימוש יומיומי.
• הגבל את ביצוע המאקרו, מפרשי סקריפטים וקבצים בינאריים לא חתומים באמצעות מדיניות קבוצתית, רשימת היתרים ליישומים וגישה מבוקרת לתיקיות.
• פריסת סינון אבטחת דוא"ל: קבצים מצורפים בארגז חול, בדיקת קישורים וסימון סוגי קבצים חשודים או דומיינים מזויפים של שולחים.
• השבת הפעלה אוטומטית במדיה נשלפת וסרוק התקני USB לפני ההרכבה.
• דרוש אימות רב-גורמי (MFA) עבור גישה מרחוק, קונסולות ניהול וממשקי ניהול גיבוי.

לקחים ארוכי טווח

DeadLock מחזקת נושא חוזר במשפחות תוכנות כופר: תוקפים אינם זקוקים לניצול פורץ דרך חדשני אם משתמשי הקצה מורידים באופן שגרתי כלים פרוצים, פותחים קבצים מצורפים שלא אומתו או גולשים ברשתות פרסום לא מהימנות. טכניקות אבטחה בסיסיות, משמעת תיקונים, בקרות גישה, גיבויים מנוטרים ומודעות למשתמשים, הופכות משבר פוטנציאלי לאירוע בר-התאוששות. השקיעו בהגנות אלו עכשיו; העלות נמוכה בהרבה מכופר ששולם תחת לחץ.

מחשבות סיכום

חוסן כנגד תוכנות כופר נבנה הרבה לפני שהתקיפה פוגעת במסך שלך. על ידי הבנת אופן פעולתו של DeadLock ויישום שכבות של בקרות מניעה והתאוששות, אתה ממצב את עצמך עמיד בפני איום זה ואחרים כמוהו. הישארו סקפטיים לגבי כל דבר שלא חיפשתם או אימתתם במכוון. ערנותכם היא קו ההגנה הראשון, ולעתים קרובות הטוב ביותר.