כופרת NeZha

תוכנות כופר נותרות אחת האיומים המשבשים ביותר העומדים בפני יחידים וארגונים. פריצה מוצלחת אחת יכולה לעצור פעילות, לפגוע או לגנוב מידע רגיש, ולהוביל למאמצי שחזור יקרים. בניית הגנות חזקות ורב-שכבתיות לפני אירוע היא הדרך האמינה היחידה למזער את ההשפעה כאשר, ולא אם, תוקפים ינסו את מזלם.

סקירת איומים

חוקרים זיהו זן מתוחכם המכונה NeZha ransomware. כמו משפחות אחרות בקטגוריה זו, המטרה העיקרית של NeZha היא פשוטה: להצפין כמה שיותר קבצים ולאחר מכן לכפות תשלום עבור מפתח פענוח. מפעיליה ממצבים את עצמם כדרך היחידה לשחזור ומגבירים את הלחץ באמצעות מגבלות זמן ואיומי דליפת נתונים.

התנהגות במערכת ושינויי קבצים

ברגע ש-NeZha צוברת דריסת רגל, היא מתחילה להצפין נתוני משתמשים ועסקיים במיקומים נפוצים. במהלך ההצפנה היא גם משנה שמות של פריטים על ידי הוספת מזהה ספציפי לקורבן וסיומת '.NeZha'. במקרים שנצפו, שמות קבצים מקבלים מזהה דמוי GUID; לדוגמה, קובץ שפיר כמו '1.png' נראה שהומר לשם דומה ל-'1.png.{A15EF2AD-5BC3-D5DC-D6C1-539CA114597E}.NeZha'. לאחר השלמת המעבר, NeZha משליך הודעת כופר בשם 'README.TXT' לתוך ספריות מושפעות.

שטר כופר וטקטיקות לחץ

ההערה טוענת כי מסדי נתונים, מסמכים, תמונות וקבצים אחרים מוצפנים וכי רכישת מפתח פענוח מהתוקפים היא הפתרון היחיד. כדי לבנות אמינות, הפושעים מציעים לעתים קרובות לפענח קובץ אחד שאינו קריטי בחינם. הם מזהירים מפני שינוי קבצים נעולים, שימוש בפענוחים של צד שלישי, או פנייה לעזרה חיצונית, בטענה שזה יגדיל את ההפסדים. נקבע מועד אחרון של 24 שעות ליצירת קשר ראשוני; אם לא יעבור, המפעילים מאיימים לדלוף או למכור נתוני חברה רגישים שלטענתם הסתננו, דוגמה ל"סחיטה כפולה".

מציאות ההתאוששות ודילמת התשלום

מבחינה טכנית, רוב תוכנות הכופר המודרניות אינן ניתנות לפענוח ללא המפתחות הפרטיים של התוקפים, אלא אם כן התוכנה הזדונית פגומה באופן חמור, תרחיש נדיר. תשלום, לעומת זאת, הוא מסוכן ולא מומלץ: קורבנות רבים אינם מקבלים מפענחים תקינים אפילו לאחר העברת כספים, והתשלום תומך בפעילות פלילית. הדרך הבטוחה יותר היא להסתמך על גיבויים נקיים ולא מקוונים ותגובה רשמית לאירועים.

בלימה והסרה

הסרת NeZha עוצרת הצפנה נוספת אך אינה פותחת קבצים שכבר נפגעו. סדרי עדיפויות צריכים להיות בידוד מערכות נגועות מהרשת, שימור ראיות לצורך ניתוח פורנזי, מיגור התוכנה הזדונית באמצעות כלים בעלי מוניטין או בנייה מחדש נקייה, ולאחר מכן שחזור מגיבויים ידועים כתקינים. אם אתם חושדים בדליפת נתונים, הפעילו את תוכנית התגובה שלכם לפריצות ושקלו את חובותיכם המשפטיות, הרגולטוריות ודיווח הלקוחות.

כיצד NeZha בדרך כלל מתפשטת

NeZha פועלת לפי סדר הפעולות של קמפיינים רבים של תוכנות כופר, תוך ניצול שיטות אספקה המונעות על ידי המשתמש וגם על ידי התוקף. תוקפים עשויים להסוות מטענים כתוכן לגיטימי או להבריח אותם לחבילות תוכנה, ולאחר מכן להפעיל אותם כאשר קובץ נפתח או סקריפט מופעל. גרסאות מסוימות יכולות גם להתפשט לרוחב ברשתות מקומיות או להעתיק את עצמן למדיה נשלפת.

וקטורי מסירה נפוצים

• פישינג והנדסה חברתית המובילות לפתיחת קבצים מצורפים ממולכדים (Office/OneNote/PDF), סקריפטים (JavaScript), ארכיונים (ZIP/RAR) או קבצי הרצה (.exe/.run).
• מתקינים, טוענים ודלתות אחוריות מותקפים על ידי טרויאנים שמושכים תוכנות כופר כשלב שני.
• הורדות מהירות והורדות מטעות מאתרים פרוצים או זדוניים.
• מקורות הורדה לא מהימנים (פורטלים של תוכנות חינמיות, מראות של צד שלישי, רשתות P2P).
• קמפייני ספאם, הונאות מקוונות ופרסום זדוני שמפנים למטענים.
• כלי הפעלה לא חוקיים ("קראקים"), תוכנה/מדיה פיראטיים והודעות עדכון מזויפות.
• פריסה עצמית דרך רשתות מקומיות ואחסון נשלף (כונני USB, כונני קשיח חיצוניים).

מחשבות סיכום

NeZha מתאימה לתבנית הכופר המודרנית: הצפנה מהירה, כפייה חזקה ואיומים אמינים של חשיפת נתונים. המינוף הטוב ביותר שלך מושג לפני אירוע, באמצעות היגיינה קפדנית, בקרות מרובדות, גיבויים שנבדקו ותגובה מיומנת. שלב אמצעי הגנה טכניים עם חינוך משתמשים ופעולות ממושמעות כדי להפחית הן את הסבירות והן את רדיוס הפיצוץ של מתקפת NeZha.