Theft Ransomware

A modern fenyegetési környezet könyörtelen. A kiberbűnözők folyamatosan finomítják eszközeiket, hogy kihasználhassák a felkészületlen felhasználókat. Ezen fenyegetések közül a legkárosabbak közé tartozik a zsarolóvírus, egy olyan rosszindulatú szoftver, amely titkosítja az adatokat és pénzt zsarol ki az áldozatokból. Az egyik ilyen feltörekvő változat a Theft Ransomware néven ismert, amelyet már megfigyeltek, amint pusztítást végez a gyanútlan rendszereken.

Mi teszi veszélyessé a lopás elleni zsarolóvírusokat?

A Theft Ransomware egy új törzs, amely a hírhedt Dharma zsarolóvírus-családhoz kapcsolódik, amely csoport közismerten magánszemélyeket és szervezeteket egyaránt céloz meg. Az eszközre való bejutás után a rosszindulatú program titkosítja a fájlokat, és átnevezi azokat a következők hozzáfűzésével:

• Egyedi áldozatazonosító
• A támadók e-mail címe
• A „.theft” kiterjesztés

Például az „1.png” fájlból „1.png.id-9ECFA84E.[datatheft@tuta.io].theft” lesz.

Az áldozatok ezután váltságdíjat követelő üzeneteket kapnak szöveges fájlok („info.txt”) és egy felugró ablak formájában. Míg a szöveges üzenet tömör, és csak az elérhetőségeket tartalmazza, a felugró ablak további részleteket kínál, beleértve azt a biztosítékot, hogy az adatok helyreállítása lehetséges, ha a váltságdíjat kifizetik. A támadók még „dekódolási bizonyítékot” is kínálnak azzal, hogy három kis, nem kritikus fájl ingyenes visszaállítását teszik lehetővé.

A nyomás fokozása érdekében a bűnözők azt állítják, hogy érzékeny üzleti adatokat loptak el, és azzal fenyegetőznek, hogy kiszivárogtatják azokat, ha a fizetést megtagadják.

A fenyegetés technikai jellemzői

A többi Dharma-alapú változathoz hasonlóan a Theft Ransomware sem zárolja le a teljes rendszereket, hanem titkosítja a helyi és a hálózaton megosztott fájlokat. A rosszindulatú program aktívan:

• Leállítja a használatban lévő fájlokhoz (adatbázisok, olvasók stb.) kapcsolódó folyamatokat.
• Átmásolja magát a %LOCALAPPDATA% elérési útra, és regisztrálja a megmaradást a Run kulcsokon keresztül.
• Automatikus indítást állít be a rendszer újraindításával
• Törli a kötet árnyékmásolatait a könnyű helyreállítás megakadályozása érdekében

A rosszindulatú program geolokációs adatokat is gyűjt annak megállapítására, hogy folytatni kell-e a titkosítást, esetleg bizonyos régiók kizárásával.

Hogyan terjed a fertőzés

A Theft Ransomware többféle behatolási taktikát alkalmaz, amelyek közül a leggyakoribbak a gyengén védett RDP (Remote Desktop Protocol) szolgáltatások. A rosszul védett fiókok elleni nyers erő és szótáras támadások gyakori belépési pontok. A bejutás után a rosszindulatú program akár a tűzfalakat is letilthatja a működése megkönnyítése érdekében.

További ismert terjesztési csatornák a következők:

Adathalászat és pszichológiai manipuláció – Rosszindulatú mellékletek vagy linkek e-mailekben, közvetlen üzenetekben és bejegyzésekben.

Trójaiak és hátsó ajtók – A zsarolóvírusok csendes telepítésére szolgálnak.

Rosszindulatú hirdetések és spontán letöltések – Egyszerűen egy feltört webhely meglátogatása aktiválja őket.

Gyanús szoftverforrások – Kalózeszközök, ingyenes szoftvercsomagok és hamis frissítések.

Cserélhető adathordozók és helyi hálózatok – Lehetővé teszik a kártevő terjedését a rendszeren belül, miután megérkezik.

Miért kockázatos a váltságdíj kifizetése?

A lopás által titkosított fájlok visszafejtése a támadó kulcsa nélkül szinte lehetetlen. Míg egyes zsarolóvírus-variánsok hibásak, a Dharma-alapú fenyegetések általában szilárdan felépítettek. Fontos megjegyezni, hogy a váltságdíj kifizetése nem garantálja a felépülést, sok áldozat üres kézzel marad még a pénzátutalás után is. Ami még rosszabb, a fizetés csak további bűncselekményeket finanszíroz.

A zsarolóvírusok elleni védelem megerősítése

A zsarolóvírusok elleni küzdelem legjobb módja a megelőzés. Mivel a rosszindulatú program eltávolítása nem állítja vissza automatikusan a titkosított fájlokat, a felhasználóknak a rugalmasságra és a proaktív védelemre kell összpontosítaniuk. A legfontosabb gyakorlatok, amelyeket minden felhasználónak alkalmaznia kell, a következők:

• Rendszeres biztonsági mentések – A fontos fájlokról több biztonságos helyen, például offline meghajtókon és a fertőzött rendszerhez nem rendelt felhőszolgáltatásokban készíthet másolatot.
• Szoftverek és rendszerek frissítése – Javítások alkalmazása a zsarolóvírusok által kihasznált sebezhetőségek megszüntetésére.
• Használjon erős hitelesítést – Biztosítsa az RDP-szolgáltatásokat egyedi, összetett jelszavakkal, és engedélyezze a többtényezős hitelesítést.
• Legyen óvatos az e-mailekkel és linkekkel – Ne nyisson meg váratlan mellékleteket, és ne kattintson ismeretlen linkekre, még akkor sem, ha azok jogosnak tűnnek.
• Korlátozza a rendszergazdai jogokat – Korlátozza a jogosultságokat a potenciális rosszindulatú programok végrehajtásának hatásának csökkentése érdekében.
• Telepítsen megbízható biztonsági eszközöket – Használjon kártevőirtó megoldásokat zsarolóvírus-védelmi funkciókkal.

• Makrók és szkriptek letiltása – Sok zsarolóvírus-támadást Office-dokumentumok vagy szkriptek indítanak el.

• Szegmentált hálózatok – Megakadályozza a rosszindulatú programok terjedését az üzleti környezetekben.

Záró gondolatok

A Theft Ransomware rávilágít a Dharma család folyamatos fejlődésére és a globális zsarolóvírus-kampányokban betöltött tartós szerepére. A titkosítás, az adatlopás és a zsarolás kombinációja különösen károssá teszi. Mivel a fájlok helyreállítása gyakran lehetetlen tiszta biztonsági mentések nélkül, az egyetlen valódi védelem a többrétegű megelőzés, az erős kiberhigiénia és a megbízható helyreállítási stratégiák.