Theft Ransomware

סביבת האיומים המודרנית אינה סלחנית. פושעי סייבר משכללים ללא הרף את הכלים שלהם כדי לנצל משתמשים לא מוכנים. בין האיומים המזיקים ביותר נמצאת תוכנת כופר, תוכנה זדונית שמצפינה נתונים וסוחטת כסף מקורבנות. גרסה מתפתחת אחת כזו ידועה בשם Theft Ransomware, שכבר נצפתה כשהיא זורעת הרס במערכות תמימות.

מה הופך תוכנות כופר לגניבה למסוכנות

תוכנת כופר נגד גניבה היא זן חדש הקשור למשפחת תוכנות הכופר הידועות לשמצה של Dharma, קבוצה הידועה במיקוד נגד יחידים וארגונים כאחד. לאחר חדירתה למכשיר, התוכנה הזדונית מצפינה קבצים ומשנה את שמם על ידי הוספת:

• מזהה ייחודי של קורבן
• כתובת הדוא"ל של התוקפים
• התוסף '.theft'

לדוגמה, '1.png' הופך ל-'1.png.id-9ECFA84E.[datatheft@tuta.io].theft'.

לאחר מכן, הקורבנות מתמודדים עם פתקי כופר בצורת קבצי טקסט ('info.txt') וחלון קופץ. בעוד שההערה תמציתית, ומספקת רק פרטי קשר, החלון הקופץ מציע פרטים נוספים, כולל הבטחה ששחזור נתונים אפשרי אם הכופר ישולם. תוקפים אף מציעים 'הוכחת פענוח' בכך שהם מאפשרים שחזור חינם של שלושה קבצים קטנים ולא קריטיים.

מה שמוסיף לחץ נוסף, הפושעים טוענים שגנבו מידע עסקי רגיש ומאיימים לדלוף אותו אם התשלום יידחה.

מאפיינים טכניים של האיום

כמו גרסאות אחרות מבוססות דהרמה, Theft Ransomware אינה נועלת מערכות שלמות אלא מצפינה קבצים מקומיים וקבצים משותפים ברשת. התוכנה הזדונית פועלת באופן פעיל:

• סיום תהליכים הקשורים לקבצים הנמצאים בשימוש (מסדי נתונים, קוראים וכו')
• מעתיק את עצמו לנתיב %LOCALAPPDATA% ורושם את ההתמדה באמצעות מקשי הפעלה
• מגדיר את עצמו להפעלה אוטומטית עם אתחול מחדש של המערכת
• מחיקת עותקי צל של אמצעי אחסון כדי למנוע שחזור קל

הנוזקה אוספת גם נתוני מיקום גיאוגרפי כדי לקבוע אם להמשיך בהצפנה, ואולי אף לא לכלול אזורים מסוימים.

כיצד הזיהום מתפשט

תוכנת כופר לגניבה משתמשת בטקטיקות חדירה מרובות, כאשר הנפוצה ביותר היא שירותי RDP (פרוטוקול שולחן עבודה מרוחק) בעלי אבטחה חלשה. התקפות Brute-force ומילון נגד חשבונות המוגנים בצורה גרועה הן נקודת כניסה שכיחה. לאחר הכניסה, התוכנה הזדונית עשויה אף להשבית חומות אש כדי להקל על פעולתה.

ערוצי הפצה ידועים נוספים כוללים:

פישינג והנדסה חברתית – קבצים מצורפים או קישורים זדוניים במיילים, הודעות פרטיות ופוסטים.

סוסים טרויאניים ודלתות אחוריות - משמשים להורדת תוכנת הכופר באופן שקט.

פרסום זדוני והורדות מהירות - מופעלות פשוט על ידי ביקור באתר אינטרנט פרוץ.

מקורות תוכנה חשודים – כלים פיראטיים, חבילות תוכנה חינמית ועדכונים מזויפים.

מדיה נשלפת ורשתות מקומיות – מתן אפשרות לתוכנה הזדונית להתפשט באופן פנימי לאחר שהיא נוחתת על מערכת.

למה תשלום הכופר הוא הימור מסוכן

פענוח קבצים מוצפנים על ידי Theft ללא מפתח התוקפים הוא כמעט בלתי אפשרי. בעוד שחלק מגרסאות הכופר פגומות, איומים מבוססי דהרמה בנויים בדרך כלל בצורה יציבה. חשוב לציין, תשלום הכופר אינו מספק ערובה להחלמה, וקורבנות רבים נותרים בידיים ריקות גם לאחר העברת כספים. גרוע מכך, התשלום רק מממן פעולות פליליות נוספות.

חיזוק ההגנות שלך מפני תוכנות כופר

הדרך הטובה ביותר להילחם בתוכנות כופר גניבה היא מניעה. מכיוון שהסרת התוכנה הזדונית לא תשחזר אוטומטית קבצים מוצפנים, על המשתמשים להתמקד בחוסן ובהגנה פרואקטיבית. שיטות עבודה מרכזיות שכל משתמש צריך לאמץ הן:

• גיבויים קבועים – שמרו עותקים של קבצים חשובים במספר מיקומים מאובטחים, כגון כוננים לא מקוונים ושירותי ענן שאינם ממופים למערכת הנגועה.
• עדכון תוכנה ומערכות – החלת תיקונים לסגירת פגיעויות שמנצלות תוכנות כופר.
• השתמש באימות חזק – אבטחו שירותי RDP באמצעות סיסמאות ייחודיות ומורכבות והפעילו אימות רב-גורמי.
• היזהרו עם הודעות דוא"ל וקישורים – אל תפתחו קבצים מצורפים בלתי צפויים או תלחצו על קישורים לא ידועים, גם אם הם נראים לגיטימיים.
• הגבלת זכויות ניהול – הגבלת הרשאות כדי להפחית את ההשפעה של ביצוע תוכנות זדוניות פוטנציאליות.
• התקינו כלי אבטחה בעלי מוניטין – השתמשו בפתרונות אנטי-וירוס עם תכונות הגנה מפני תוכנות כופר.

• השבתת פקודות מאקרו וסקריפטים – התקפות כופר רבות מופעלות באמצעות מסמכי או סקריפטים של אופיס.

• פילוח רשתות – מניעת התפשטות תוכנות זדוניות לרוחב סביבות עסקיות.

מחשבות אחרונות

תוכנות כופר נגד גניבה מדגישות את ההתפתחות המתמשכת של משפחת Dharma ואת תפקידה המתמשך בקמפיינים של תוכנות כופר עולמיות. השילוב של הצפנה, גניבת נתונים וסחיטה הופך אותה למזיקה במיוחד. מכיוון ששחזור קבצים לרוב בלתי אפשרי ללא גיבויים נקיים, ההגנה האמיתית היחידה היא מניעה שכבתית, היגיינת סייבר חזקה ואסטרטגיות שחזור אמינות.