Barátok zsarolóvírus

Az eszközök védelme a rosszindulatú programoktól minden eddiginél fontosabb, mivel a modern kiberfenyegetések értékes adatokat titkosíthatnak, megzavarhatják az üzleti működést és bizalmas információkat tehetnek közzé. A zsarolóvírusok (ransomware) továbbra is az egyik legkártékonyabb rosszindulatú program, mivel az adattitkosítást zsarolási taktikákkai ötvözi, amelyek célja, hogy az áldozatokat nagy összegek kifizetésére kényszerítsék. Egy figyelemre méltó példa a Friends zsarolóvírus, egy kifinomult fenyegetés, amely a fájltípusok széles skáláját célozza meg, miközben az adatlopást is kihasználja a fizetés valószínűségének növelése érdekében.

Friends zsarolóvírus: Kettős zsarolási célú kiberfenyegetés

A Friends zsarolóvírus egy kiberbiztonsági kutatók által felfedezett rosszindulatú program, amely titkosítja a feltört rendszereken lévő fájlokat, és váltságdíjat követel a visszafejtési kulcsért cserébe. A fájltitkosításon túl a fenyegetés mögött álló üzemeltetők azt állítják, hogy bizalmas információkat lopnak el az áldozatoktól, mielőtt zárolják az adataikat. Ez a taktika, amelyet általában kettős zsarolásnak neveznek, lehetővé teszi a támadók számára, hogy adatvesztéssel és bizalmas információk nyilvánosságra hozatalával fenyegetőzzenek.

Miután a Friends zsarolóvírus elindult a rendszeren, számos fájltípust keres és titkosít. A folyamat során a „.friends124” kiterjesztést fűzi hozzá az érintett fájlokhoz. Például egy „1.png” nevű fájl „1.png.friends124”-re alakul, míg a „2.pdf” fájl „2.pdf.friends124”-re változik. Ez a kiterjesztés egyértelműen jelzi, hogy a fájlokat a kártevő feldolgozta, és a szokásos módon már nem érhetők el.

Titkosítási folyamat és váltságdíj-követelések

A titkosítási rutin befejezése után a zsarolóvírus létrehoz egy „RANSOM_NOTE.html” nevű fájlt, amely utasításokat tartalmaz az áldozat számára. A jegyzet tájékoztatja a felhasználókat arról, hogy fájljaik titkosítva vannak, és elérhetőségi adatokat tartalmaz a váltságdíj-tárgyalások megkezdéséhez. Az áldozatokat arra utasítják, hogy a támadókkal a „recovery1@salamati.vip” és a „recovery1@amniyat.xyz” e-mail címeken keresztül kommunikáljanak. Alternatív kapcsolatfelvételi módot is említenek a Tor hálózaton keresztül.

A váltságdíjat követelő levél azt állítja, hogy bizalmas és személyes adatokat gyűjtöttek és tároltak a támadók által ellenőrzött privát szerveren. Az üzenet szerint ezeket az információkat közzéteszik vagy harmadik feleknek eladják, ha az áldozat nem hajlandó eleget tenni a váltságdíjkövetelésnek. Hogy meggyőzzék az áldozatokat arról, hogy a fájlok helyreállítása lehetséges, a bűnözők felajánlják két vagy három nem létfontosságú fájl ingyenes visszafejtését. A levél továbbá figyelmeztet, hogy a váltságdíj összege emelkedni fog, ha 72 órán belül nem jön létre a kapcsolat, és azt tanácsolja az áldozatoknak, hogy a kommunikáció előtt hozzanak létre egy ProtonMail fiókot.

Miért kockázatos döntés a váltságdíj kifizetése?

Az áldozatok gyakran fontolgatják a váltságdíj fizetését, amikor a kritikus fájlok elérhetetlenné válnak. A kiberbűnözőknek fizetett pénz azonban nem garantálja a sikeres helyreállítást. Számos zsarolóvírus-művelet szedett be pénzösszegeket működő visszafejtő eszközök nélkül, vagy olyan segédprogramokat küldött, amelyek nem állították vissza az összes érintett adatot.

Még ha a támadók dekódoló eszközt is biztosítanak, a fizetés bűnözői tevékenységet támogat, és más személyek és szervezetek elleni jövőbeli támadásokra ösztönöz. Ezen okok miatt a kiberbiztonsági szakemberek határozottan nem javasolják a váltságdíj követelések kifizetését. A legtöbb esetben a titkosított fájlok nem állíthatók vissza a támadók dekódoló kulcsa nélkül, kivéve, ha a zsarolóvírus jelentős megvalósítási hibákat tartalmaz, amelyeket a kutatók kihasználhatnak egy ingyenes dekódoló fejlesztéséhez.

Helyreállítás és incidensreagálás

Egy fertőzés után az azonnali prioritás a Friends zsarolóvírus eltávolítása az érintett rendszerből. A kártevő eltávolítása segít megelőzni a további fájlok titkosítását, és csökkenti a további rosszindulatú tevékenységek kockázatát. A kártevő eltávolítása önmagában azonban nem állítja vissza a már titkosított adatokat.

A legmegbízhatóbb helyreállítási módszer a fájlok visszaállítása a fertőzés előtt létrehozott biztonsági mentésekből. A biztonsági mentéseket az elsődleges rendszertől elkülönítve kell tárolni, hogy a támadás során érintetlenek maradjanak. Ha a biztonsági mentések ugyanarra a hálózatra csatlakoznak, vagy folyamatosan elérhetőek maradnak, a zsarolóvírusok megpróbálhatják azokat is titkosítani, így az áldozatok nem kapnak helyreállítási lehetőséget.

Hogyan terjed a Friends zsarolóvírus?

Sok más zsarolóvírus-családhoz hasonlóan a Friends zsarolóvírus is több terjesztési csatornán keresztül éri el a potenciális áldozatokat. Az adathalász e-mailek továbbra is a leghatékonyabb kézbesítési módszerek közé tartoznak. Ezek az üzenetek gyakran tartalmaznak rosszindulatú mellékleteket vagy linkeket, amelyek megnyitásakor rosszindulatú programok letöltését indítják el. A támadók általában rosszindulatú makrókat tartalmazó dokumentumfájlokat, tömörített archívumokat, futtatható fájlokat, PDF-eket és JavaScript-alapú hasznos adatokat használnak.

További fertőzési vektorok közé tartoznak a zsarolóvírusokat csendben telepítő trójaiak, a hamis szoftverfrissítési mechanizmusok, a rosszindulatú hirdetések, a feltört webhelyek és a megbízhatatlan forrásokból származó letöltések. Az ingyenes szoftverportálok, a peer-to-peer fájlmegosztó hálózatok és más nem hivatalos terjesztési platformok gyakran tárolnak legitim szoftvernek álcázott rosszindulatú fájlokat. A fertőzött USB-meghajtók szintén elősegíthetik a zsarolóvírusok rendszerek közötti terjedését.

Különösen gyakori fertőzési forgatókönyv a szoftverfeltörések és a kalóz aktiváló eszközök használata. A kiberbűnözők gyakran a fizetős szoftverek ingyenes alternatíváiként álcázzák a rosszindulatú programokat, kihasználva azokat a felhasználókat, akik hajlandóak megkerülni a hivatalos terjesztési csatornákat. A végrehajtás után ezek a látszólag ártalmatlan programok figyelmeztetés nélkül telepíthetnek zsarolóvírusokat.

A zsarolóvírusok elleni védelem megerősítése

A zsarolóvírusok elleni hatékony védelemhez többrétegű biztonsági stratégiára van szükség, amely a technikai biztosítékokat a biztonságos felhasználói viselkedéssel ötvözi. A szervezeteknek és az egyéneknek jó hírű biztonsági szoftvert kell fenntartaniuk, biztosítaniuk kell az operációs rendszerek és alkalmazások rendszeres frissítéseit, és le kell tiltaniuk a támadók által visszaélésre alkalmas felesleges funkciókat. Az ismeretlen vagy váratlan forrásokból származó e-mail-mellékleteket és linkeket mindig óvatosan kell kezelni, még akkor is, ha jogosnak tűnnek.

A rendszeres adatmentések a legfontosabb védelmi intézkedések közé tartoznak. Több biztonsági másolat különálló helyeken, például offline külső meghajtókon és biztonságos távoli tárolási megoldásokban történő tárolása jelentősen javítja a támadás utáni helyreállítás esélyeit. A biztonsági mentések tesztelését is rendszeresen el kell végezni annak megerősítésére, hogy az adatok szükség esetén sikeresen visszaállíthatók.

A legfontosabb biztonsági gyakorlatok a következők:

• Tartsa az operációs rendszereket, böngészőket és alkalmazásokat naprakészen a legújabb biztonsági javításokkal.
• Használjon megbízható végpontvédelmi szoftvert valós idejű fenyegetésészlelési képességekkel.
• Több biztonsági mentést is készítsen, beleértve legalább egy offline vagy más módon elszigetelt másolatot.
• Kerülje a kéretlen e-mail mellékletek megnyitását és a gyanús linkekre kattintást.
• Csak hivatalos és megbízható forrásból töltsön le szoftvert.
• Tartózkodjon a kalózszoftverek, crackek vagy jogosulatlan aktiváló eszközök használatától.
• Korlátozza a rendszergazdai jogosultságokat, amikor csak lehetséges.
• Tájékoztassa a felhasználókat az adathalász taktikákról és a pszichológiai manipuláción alapuló támadásokról.

Záró értékelés

A Friends zsarolóvírus komoly kiberbiztonsági fenyegetést jelent, amely a fájltitkosítást adatlopással és zsarolással ötvözi. A fájlokhoz a „.friends124” kiterjesztés hozzáfűzésével, a „RANSOM_NOTE.html” nevű váltságdíjjegyzet elküldésével és az ellopott információk felfedésével való fenyegetéssel üzemeltetői megpróbálják maximalizálni az áldozatokra nehezedő nyomást. Míg a helyreállítási lehetőségek megbízható biztonsági mentések nélkül gyakran korlátozottak, az erős kiberbiztonsági gyakorlatok, a rendszeres biztonsági mentések, az időben történő szoftverfrissítések és az óvatos online viselkedés jelentősen csökkentheti a zsarolóvírus-támadás sikeres valószínűségét, és minimalizálhatja a fertőzés hatását.