Solara ransomware

Solara je nedavno uočena vrsta ransomwarea za koju istraživači kažu da je izgrađena na javno distribuiranom kodu obitelji Chaos. Ransomware poput Solare šifrira korisničke datoteke, zahtijeva plaćanje i može trajno poremetiti pristup važnim podacima, stoga je zaštita uređaja i sigurnosnih kopija ključna.

ŠTO SOLARA RADI

Tijekom analize, uočeno je kako Solara šifrira datoteke i dodaje tekstualni niz '.solara' nazivima datoteka (na primjer, '1.png' → '1.png.solara'). Zlonamjerni softver također ostavlja poruku s zahtjevom za otkupninu pod nazivom 'read_it.txt' koja tvrdi da je žrtva aktivirala 'anti-crack' zaštitu i upućuje žrtve da dobiju alat za dešifriranje od online aktera. Nekoliko članaka i analiza uzoraka povezuje Solaru s obitelji ransomwarea Chaos i opisuje slično ponašanje (šifriranje, zamjena ekstenzija i poruka s zahtjevom za otkupninu u običnom tekstu).

POTVRDA O OTKUPINI I ZAHTJEVI ZA ISPLATU

U poruci s zahtjevom za otkupninu koju su ispitali analitičari tvrdi se da je oporavak datoteke 'gotovo nemoguć' bez alata za dešifriranje napadača. U poruci se žrtvama upućuje da kontaktiraju korisnika Discorda (xenqxd) i predlažu se opcije plaćanja poput Paysafecarda (u Poljskoj) ili malog iznosa Bitcoina. Valja napomenuti da neki uzorci izostavljaju značajne kontaktne kanale, što može ukazivati na nezrelu ili podvalu sličnu kampanju ili operatere koji jednostavno ne očekuju pregovore. Sve takve zahtjeve treba tretirati s krajnjom sumnjom.

MOŽETE LI OPORAVITI DATOTEKE BEZ PLAĆANJA?

Općenito, datoteke šifrirane prijetnjama obitelji Chaos ne mogu se oporaviti bez odgovarajućeg ključa za dešifriranje. Ako imate čiste, izvanmrežne sigurnosne kopije prije zaraze, njihovo vraćanje je najsigurniji preporučeni put. Plaćanje se ne preporučuje, kriminalci često ne isporučuju upotrebljive dekriptore, a plaćanje sredstava potiče daljnje kriminalne aktivnosti.

UOBIČAJENI VEKTORI INFEKCIJE

• Piratski softver, keygeni i 'crackirani' uslužni programi prikriveni zlonamjernim softverom.
• Zlonamjerni privitci i poveznice u e-porukama (makroi, skripte, EXE datoteke sustava Office).
• Zaraženi oglasi, kompromitirane ili neslužbene stranice za preuzimanje, P2P/torrent mreže, USB pogoni i programi za preuzimanje trećih strana.

HITNE MJERE U SLUČAJU SUMNJE NA INFEKCIJU

Odmah izolirajte uređaj : isključite se s mreža (žičnih/Wi-Fi) i odspojite sve dijeljene/mrežne pogone kako biste spriječili lateralno širenje.

Sačuvajte dokaze : nemojte isključivati i ponovno uključivati računalo ako prikupljate memoriju ili forenzičke artefakte, umjesto toga snimite slike memorije i diska ako imate mogućnost ili nazovite odgovor na incident.

Koristite sigurnosne kopije : Vraćajte iz pouzdanih sigurnosnih kopija nakon što se zlonamjerni softver ukloni i sustavi se ponovno izgrade; nemojte vraćati sigurnosne kopije koje su možda bile povezane u vrijeme zaraze.

Nemojte plaćati osim ako tim za odgovor na incidente nije procijenio sve mogućnosti i posljedice; nije zajamčeno da će plaćanje biti uspješno i može potaknuti buduće napade.

NAJBOLJE SIGURNOSNE PRAKSE

Održavajte ažurnu, slojevitu obranu koja uključuje sljedeće prakse u svakodnevnom poslovanju:

Upravljanje zakrpama : pravovremeno primijenite sigurnosna ažuriranja operacijskog sustava i aplikacija; mnogi sojevi ransomwarea iskorištavaju poznate i zakrpane ranjivosti.

Najmanje privilegija i higijena računa : pokretanje korisnika s računima koji nisu administratori, provođenje snažne višefaktorske autentifikacije za udaljeni pristup i privilegirane račune te praćenje neobičnog ponašanja pri prijavi.

Strategija sigurnosnog kopiranja : Redovito stvarajte sigurnosne kopije i držite ih odvojeno od mreže. Uostalom, sigurnosne kopije su najučinkovitija kontrola oporavka od napada šifriranjem.

Zaštita krajnjih točaka i EDR : implementirajte pouzdana rješenja za detekciju i odgovor na krajnje točke koja mogu otkriti anomalije u izvršavanju, blokirati zlonamjerne sadržaje i omogućiti brzo suzbijanje. Održavajte potpise i telemetriju omogućenima.

Edukacija korisnika i otpornost na phishing : obučite korisnike da izbjegavaju korištenje crack-ova/keygen-ova, da provjeravaju pošiljatelje e-pošte i poveznice te da s sumnjom tretiraju neočekivane privitke. Simulirane phishing kampanje i kampanje za podizanje svijesti smanjuju ljudski faktor rizika.

Kontrole aplikacija i ograničenja makroa : onemogućite makroe sustava Office prema zadanim postavkama, blokirajte izvršavanje s uobičajenih lokacija za zlouporabu (npr. %AppData%, privremene mape) i koristite popis dopuštenih aplikacija gdje je to izvedivo.

ZAVRŠNE NAPOMENE

Solara ilustrira uobičajene rizike povezane s javno dostupnim kreatorima ransomwarea: forkovi i varijante se šire, a napadači kontinuirano prilagođavaju metode distribucije kako bi ciljali određene zajednice (izvješća ističu forume o igrama i kanale piratskog softvera kao vjerojatne mamce). Najbolje obrane su prevencija, snažne sigurnosne kopije, brzo suzbijanje i suradnja s obučenim timovima za odgovor, a ne plaćanje otkupnine. Ako sumnjate na kompromitiranje i trebate pomoć korak po korak u čišćenju, prikupite uzorke pokazatelja (imena datoteka, hashove, tekst poruke o otkupnini) i obratite se pouzdanom pružatelju usluga odgovora na incidente ili svom dobavljaču sigurnosnih rješenja za smjernice o suzbijanju i oporavku.