Theft Ransomware

Moderno okruženje prijetnji je nemilosrdno. Kibernetički kriminalci neprestano usavršavaju svoje alate kako bi iskoristili nepripremljene korisnike. Među najštetnijim od ovih prijetnji je ransomware, zlonamjerni softver koji šifrira podatke i iznuđuje novac od žrtava. Jedna takva nova varijanta poznata je kao Theft Ransomware, za koji je već uočeno da uzrokuje štetu na ništa ne slutećim sustavima.

Što čini Theft Ransomware opasnim

Theft Ransomware je novi soj povezan s ozloglašenom obitelji Dharma ransomwarea, skupinom poznatom po tome što cilja i pojedince i organizacije. Nakon što se infiltrira u uređaj, zlonamjerni softver šifrira datoteke i preimenuje ih dodavanjem:

• Jedinstveni identifikacijski broj žrtve
• E-mail adresa napadača
• Ekstenzija '.theft'

Na primjer, '1.png' postaje '1.png.id-9ECFA84E.[datatheft@tuta.io].theft.'

Žrtve se zatim suočavaju s porukama o otkupnini u obliku tekstualnih datoteka ('info.txt') i skočnim prozorom. Iako je tekstualna poruka sažeta i pruža samo kontaktne podatke, skočni prozor nudi više detalja, uključujući uvjeravanje da je oporavak podataka moguć ako se plati otkupnina. Napadači čak nude i 'dokaz o dešifriranju' dopuštajući besplatno vraćanje tri male, nekritične datoteke.

Dodatni pritisak stvaraju tvrdnje kriminalaca da su ukrali osjetljive poslovne podatke i prijete da će ih objaviti ako se plaćanje odbije.

Tehničke karakteristike prijetnje

Kao i druge varijante temeljene na Dharmi, Theft Ransomware ne zaključava cijele sustave, već šifrira lokalne i mrežno dijeljene datoteke. Zlonamjerni softver aktivno:

• Završava procese vezane uz datoteke koje su u upotrebi (baze podataka, čitači itd.)
• Kopira se na putanju %LOCALAPPDATA% i registrira perzistenciju putem ključeva Run
• Postavlja se na automatsko pokretanje nakon ponovnog pokretanja sustava
• Briše kopije volumena u sjeni kako bi se spriječio jednostavan oporavak

Zlonamjerni softver također prikuplja podatke o geolokaciji kako bi utvrdio treba li nastaviti s enkripcijom, eventualno isključujući određene regije.

Kako se infekcija širi

Theft Ransomware koristi više taktika infiltracije, a najčešće su slabo zaštićene RDP (Remote Desktop Protocol) usluge. Napadi grubom silom i napadi rječnikom na slabo zaštićene račune česta su ulazna točka. Jednom kada uđe, zlonamjerni softver može čak i onemogućiti vatrozidove kako bi olakšao svoj rad.

Drugi poznati distribucijski kanali uključuju:

Krađa identiteta i društveni inženjering – Zlonamjerni privitci ili poveznice u e-porukama, izravnim porukama i objavama.

Trojanci i stražnja vrata – koriste se za tiho postavljanje ransomwarea.

Zlonamjerno oglašavanje i drive-by preuzimanja – Pokreću se jednostavnim posjetom kompromitiranoj web stranici.

Sumnjivi izvori softvera – piratski alati, besplatni paketi i lažna ažuriranja.

Izmjenjivi mediji i lokalne mreže – Omogućuju zlonamjernom softveru da se širi interno nakon što sleti na sustav.

Zašto je plaćanje otkupnine rizična oklada

Dešifriranje datoteka šifriranih metodom Theft bez ključa napadača gotovo je nemoguće. Dok su neke varijante ransomwarea manjkave, prijetnje temeljene na Dharmi obično su čvrsto izgrađene. Važno je napomenuti da plaćanje otkupnine ne jamči oporavak, mnoge žrtve ostaju praznih ruku čak i nakon prijenosa sredstava. Što je još gore, plaćanje samo financira daljnje kriminalne operacije.

Jačanje vaše obrane od ransomwarea

Najbolji način borbe protiv Theft Ransomwarea je prevencija. Budući da uklanjanje zlonamjernog softvera neće automatski vratiti šifrirane datoteke, korisnici se moraju usredotočiti na otpornost i proaktivnu obranu. Ključne prakse koje bi svaki korisnik trebao usvojiti su:

• Redovite sigurnosne kopije – održavajte kopije važnih datoteka na više sigurnih lokacija, kao što su izvanmrežni diskovi i usluge u oblaku koje nisu mapirane na zaraženi sustav.
• Ažurirajte softver i sustave – Primijenite zakrpe kako biste zatvorili ranjivosti koje iskorištava ransomware.
• Koristite snažnu autentifikaciju – Osigurajte RDP usluge jedinstvenim, složenim lozinkama i omogućite višefaktorsku autentifikaciju.
• Budite oprezni s e-porukama i poveznicama – Nemojte otvarati neočekivane priloge ili klikati na nepoznate poveznice, čak i ako se čine legitimnima.
• Ograniči administratorska prava – Ograničite privilegije kako biste smanjili utjecaj potencijalnog izvršavanja zlonamjernog softvera.
• Instalirajte pouzdane sigurnosne alate – Koristite anti-malware rješenja sa značajkama zaštite od ransomwarea.

• Onemogućite makroe i skripte – Mnogi napadi ransomwarea pokreću se putem Office dokumenata ili skripti.

• Segmentne mreže – Spriječite lateralno širenje zlonamjernog softvera po poslovnim okruženjima.

Završne misli

Krađa ransomwarea naglašava kontinuiranu evoluciju obitelji Dharma i njezinu trajnu ulogu u globalnim kampanjama ransomwarea. Njegova kombinacija enkripcije, krađe podataka i iznude čini ga posebno štetnim. Budući da je oporavak datoteka često nemoguć bez čistih sigurnosnih kopija, jedina prava obrana je slojevita prevencija, snažna kibernetička higijena i pouzdane strategije oporavka.