LockBeast ransomware

Do Mezo. Ransomware. godine

Prevedi na:

Ransomware ostaje jedna od najrazornijih kibernetičkih prijetnji za organizacije i kućne korisnike. Jedan uspješan upad može zaključati poslovno kritične podatke, zaustaviti operacije i pokrenuti skupe napore odgovora na incidente i oporavka. Izgradnja slojevitih obrana i spremnosti za odgovor prije izbijanja epidemije je razlika između kontroliranog događaja i krize.

SAŽETAK PRIJETNJE

Nakon što se LockBeast Ransomware pokrene, on šifrira korisničke podatke, mijenja nazive datoteka kako bi ugradio identifikator žrtve i ostavlja poruku o otkupnini pod nazivom 'README.TXT'. Operateri kombiniraju šifriranje s krađom podataka kako bi prisilili žrtve da plate, prijeteći da će odati osjetljive informacije ako se kontakt ne uspostavi unutar zadanog vremenskog okvira.

POSTUPAK ŠIFRIRANJA I PREIMENOVANJA DATOTEKA

Tijekom enkripcije, LockBeast ciljanim datotekama dodaje i ID specifičan za žrtvu i ekstenziju '.lockbeast'. Na primjer, '1.png' postaje '1.png.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast', a '2.pdf' postaje '2.pdf.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast'. Ovaj uzorak omogućuje napadačima praćenje pojedinačnih žrtava i potvrdu plaćanja prije pružanja bilo kakve mogućnosti dešifriranja. Rutina enkripcije ima za cilj pokriti širok raspon vrsta podataka, uključujući dokumente, baze podataka, arhive, medije i repozitorije izvornog koda.

OTKUPNINA I TAKTIKE DVOSTRUKE IZNUDE

U bilješci 'README.TXT' tvrdi se da sve važne datoteke nisu dostupne te se tvrdi da su osjetljivi zapisi, poput povijesti transakcija, osobnih podataka kupaca, podataka o platnim karticama i stanja računa, ukradeni u napadačevu infrastrukturu. Bilješka pruža kontaktne podatke putem messengera usmjerenih na privatnost (Session i Tox), upozorava na preimenovanje datoteka ili korištenje dekriptora trećih strana te postavlja rok od sedam dana prije navodnog objavljivanja podataka. Ovo spaja klasičnu iznudu šifriranjem datoteka s prijetnjama javnog curenja informacija kako bi se povećao pritisak. Plaćanje ostaje rizično: ne postoji jamstvo za funkcionalno dešifriranje, potpuni oporavak podataka ili brisanje ukradenih informacija čak i ako se pošalje otkupnina.

POČETNI PRISTUPNI I DISTRIBUCIJSKI VEKTORI

Uočene i vjerojatne metode isporuke podudaraju se s uobičajenim operacijama ransomwarea. Akteri prijetnji šire infekcije putem zlonamjernih privitaka ili poveznica e-pošte, trojanskog ili piratskog softvera i keygena, prijevara 'podrške' putem društvenog inženjeringa i iskorištavanja nezakrpanih ranjivosti. Dodatni putevi uključuju preusmjeravanja putem drive-by ili zlonamjernog oglašavanja, programe za preuzimanje trećih strana, kompromitirane ili slične web stranice, zaražene prijenosne medije i dijeljenje datoteka među korisnicima. Izvršavanje često počinje kada korisnik otvori zamku na izvršnu datoteku, arhivu, Office ili PDF dokument ili skriptu.

SMJERNICE ZA SUZBIJANJE I ISKORJENJIVANJE

Ako se sumnja da je LockBeast zarazio sustav, odmah reagirajte. Izolirajte zahvaćena računala od mreže (žične i bežične) kako biste spriječili daljnje šifriranje i lateralno širenje. Onemogućite dijeljene diskove i poništite sumnjive tokene ili sesije pristupa. Sačuvajte nestabilne artefakte i zapisnike za forenziku, a zatim uklonite zlonamjerni softver pomoću pouzdanog, potpuno ažuriranog sigurnosnog rješenja ili poznatog dobrog okruženja za odgovor na incidente. Vraćajte podatke samo iz čistih, izvanmrežnih sigurnosnih kopija nakon što potvrdite da je prijetnja iskorijenjena; u suprotnom, ponovna infekcija može ponovno šifrirati vraćene podatke.

OPORAVAK I UTJECAJ NA POSLOVANJE

Dešifriranje bez alata napadača obično nije izvedivo osim ako ne postoje sigurnosne kopije. Dajte prioritet obnavljanju najvažnijih usluga s nepromjenjivih ili izvanmrežnih snimaka. Tretirajte svaku tvrdnju o krađi podataka kao vjerodostojnu dok se ne dokaže suprotno: procijenite koji su podaci mogli biti izloženi, pripremite obavijesti ako to zahtijeva zakon ili ugovor i pratite zlouporabu (npr. prijevaru protiv kupaca).

ODLUKE O PLAĆANJU

Iako svaki incident ima jedinstvene operativne i pravne aspekte, plaćanje otkupnine financira kriminalne aktivnosti i ne nudi jamstvo potpunog oporavka podataka ili neotkrivanja. Prvo razmotrite alternative: vraćanje iz sigurnosnih kopija, djelomičnu rekonstrukciju podataka i mjere zaštite korisnika.

ZAKLJUČAK

LockBeast kombinira agresivno šifriranje s prijetnjama curenja podataka kako bi prisilio žrtve. Brza izolacija, disciplinirano iskorjenjivanje i pouzdane izvanmrežne sigurnosne kopije ključni su za oporavak. Dugoročno gledano, organizacije koje ulažu u zakrpe, najmanje privilegije, robusne kontrole e-pošte i weba te realističnu spremnost na incidente dramatično smanjuju i vjerojatnost i utjecaj ransomware događaja.

Poruke

Pronađene su sljedeće poruke povezane s LockBeast ransomware:

YOUR FILES ARE ENCRYPTED AND CONDIDENTIAL DATA HAS BEEN STOLEN

All your documents, databases, source codes and other important files are now inaccessible.
They are protected by military standard encryption algorigthms that cannot be broken without a special key.

In addition, some of your data has been copied and is on our servers.
- and much more...
The stolen data contains information about transactions made in your applications, personal data of your customers, including full names, contact details, document numbers, their card numbers in your casino and their balance.
If you refuse to deal with us, we will publicly post your confidential information on our blog.

Our group is not politically motivated, we just love money like all people.
Instead of paying huge fines, getting sued by employees and customers, you can simply write to us and negotiate a deal.

How our negotiations with you will proceed:
1. You contact us at the contacts listed below and send us your personal decryption id.
2. We will show you what data we stole from you and decrypt 1 test file of your choice so you know that all your files are recoverable.
3. We will negotiate a ransom price with you and you pay it.
4. We give you a decryptor for your data, as well as logs of secure deletion all your data.
5. We give you a technical report on how your network was infiltrated.

YOUR PERSONAL ID: -

OUR CONTACTS:
1. SESSION
Download Session Messenger (hxxps://getsession.org/)
Our Session ID:
0528d01425626aa9727970af4010c22f5ec5c3c1e7cd21cbecc762b88deb83d03c

2. TOX MESSENGER
Download Tox (hxxps://tox.chat/)
Our Tox ID:
D29B1DD9540EFCC4A04F893B438956A0354A66A31277B65125E7C4BF2E092607338C93FDE53D

Attention!
* Do not rename encrypted files.
* Do not try to decrypt your data using third party software, it may cause permanent data loss.
* Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.
* If you do not contact us within 7 days, we will post your sensitive data on our blog and report the leak to your partners, customers, employees, as well as to regulators and the media.