Ior Ransomware

Poiché gli attacchi ransomware diventano più sofisticati e distruttivi, proteggere i tuoi dispositivi da minacce dannose non è mai stato così cruciale. Questi attacchi possono crittografare i tuoi dati, interrompere le operazioni aziendali ed estorcere denaro alle vittime, spesso senza alcuna garanzia di recupero dei dati. La recente scoperta del ransomware Ior evidenzia la minaccia persistente che le moderne famiglie di ransomware rappresentano. Comprendere come funziona il ransomware Ior ed eseguire forti azioni di sicurezza può ridurre significativamente il rischio di cadere vittima di tali attacchi.

Ransomware Ior: una nuova minaccia nella famiglia Dharma

Il ransomware Ior appartiene alla famigerata famiglia di ransomware Dharma , che ha la reputazione di prendere di mira sia aziende che privati. Una volta che Ior infetta un sistema, crittografa rapidamente i file e li rinomina usando il formato filename.id-[ID STRING].[email dell'attaccante].ior. Ad esempio, 'document.pdf' verrebbe rinominato in 'document.pdf.id-9ECFA74E.[jasalivan@420blaze.it].ior', bloccando il file e rendendolo inaccessibile all'utente.

Il ransomware Ior lascia dietro di sé due tipi di richieste di riscatto:

• Una finestra pop-up che informa immediatamente la vittima dell'attacco.
• Un file denominato "manual.txt", che fornisce istruzioni dettagliate su come ripristinare i dati crittografati.

Queste note di riscatto invitano la vittima a contattare gli aggressori tramite gli indirizzi e-mail forniti, jasalivan@420blaze.it o ja.salivan@keemail.me, entro 12 ore. La nota offre anche di decifrare fino a tre file (inferiori a 3 MB) come prova che la decifrazione è possibile. Tuttavia, gli aggressori mettono in guardia dal tentativo di rinominare i file crittografati o di utilizzare strumenti di decifrazione di terze parti, minacciando la perdita permanente dei dati o costi più elevati per la decifrazione se queste azioni vengono intraprese.

I metodi di attacco: come il ransomware Ior infetta i sistemi

Il ransomware Ior è altamente minaccioso non solo per le sue capacità di crittografia dei file, ma anche per il suo approccio aggressivo alla disattivazione delle funzionalità di sicurezza e alla garanzia della persistenza. Il malware:

• Crittografa sia i file locali che quelli condivisi in rete, colpendo non solo il computer infetto ma anche tutti i dispositivi di archiviazione o sistemi connessi.
• Disattiva il firewall di sistema, rendendo il dispositivo più vulnerabile ad ulteriori attacchi.
• Elimina le copie shadow del volume, impedendo agli utenti di recuperare i file utilizzando i punti di ripristino integrati di Windows.
• Si copia nella directory %LOCALAPPDATA% e si registra con i tasti Esegui di Windows, consentendo il riavvio automatico al riavvio del sistema.

Inoltre, il ransomware Ior è in grado di raccogliere dati sulla posizione ed escludere determinate directory dalla crittografia, il che suggerisce un livello di personalizzazione basato sulla strategia dell'aggressore.

Vettori di infezione: come viene trasmesso il ransomware Ior

Come molti ceppi di ransomware nella famiglia Dharma, il ransomware Ior viene spesso distribuito tramite servizi Remote Desktop Protocol (RDP) vulnerabili. I criminali informatici sfruttano configurazioni RDP deboli, utilizzando attacchi brute-force o a dizionario per decifrare credenziali mal gestite. Tuttavia, questo non è l'unico modo in cui Ior infetta i sistemi:

• Allegati o link e-mail danneggiati : le e-mail di phishing con allegati dannosi o link incorporati sono un metodo di distribuzione comune per i ransomware.
• Vulnerabilità del software sfruttate : i sistemi privi di patch rappresentano i principali obiettivi del ransomware, poiché gli aggressori possono sfruttare vulnerabilità note in software o sistemi operativi obsoleti.
• Software pirata : il software scaricato illegalmente spesso nasconde malware, tra cui ransomware, che vengono eseguiti inconsapevolmente dagli utenti.
• Siti web compromessi : gli utenti potrebbero essere indotti a scaricare malware tramite annunci pubblicitari ingannevoli, download falsi o siti web compromessi.
• Reti peer-to-peer (P2P) e downloader di terze parti : i file non sicuri possono diffondersi facilmente tramite piattaforme torrent o gestori di download di terze parti privi di controlli di sicurezza.

Le migliori pratiche di sicurezza per difendersi dal ransomware

Per proteggerti dal ransomware Ior e da altre minacce informatiche, è essenziale seguire le migliori pratiche di sicurezza. Essendo proattivi e prendendo le giuste precauzioni, puoi ridurre significativamente il rischio di cadere vittima di questi attacchi. Ecco i passaggi chiave per rafforzare la tua difesa contro il ransomware:

1. Esegui regolarmente il backup dei tuoi dati: i backup frequenti sono la tua difesa più forte contro il ransomware. Assicurati che tutti i file fondamentali siano sottoposti a backup su un dispositivo di archiviazione indipendente o un servizio cloud disconnesso dal tuo sistema principale. In questo modo, se i tuoi dati sono crittografati, puoi ripristinarli senza dover pagare il riscatto.
2. Accesso remoto sicuro: se utilizzi RDP o altri servizi di accesso remoto, assicurati che siano configurati in modo sicuro:

Disattivare l'RDP se non è in uso.

Utilizzare password complesse e univoche per gli account con accesso remoto.

Abilita l'autenticazione a più fattori (MFA) per una maggiore sicurezza.

Limitare l'accesso RDP a specifici indirizzi IP tramite un firewall o una VPN.

1. Mantieni aggiornati sistemi e software: il software obsoleto è un bersaglio frequente per gli attacchi ransomware. Assicurati che il tuo sistema operativo, le applicazioni e il software anti-malware siano aggiornati con le ultime patch di sicurezza. Automatizza gli aggiornamenti ove possibile per ridurre al minimo la finestra di vulnerabilità.
2. Distribuisci soluzioni anti-ransomware: investi in un software anti-malware affidabile che includa protezione anti-ransomware. Molte suite di sicurezza moderne possono rilevare comportamenti sospetti, come la crittografia dei file o modifiche non autorizzate alle impostazioni di sistema, e fermare il ransomware prima che causi danni.
3. Sii cauto con le e-mail: le e-mail di phishing rimangono uno dei modi più efficaci per gli aggressori di distribuire ransomware. Evita di cliccare su allegati o link di e-mail indesiderati. Verifica la legittimità di e-mail inaspettate, anche se sembrano provenire da fonti attendibili.
4. Usa password forti e uniche: le password deboli sono una vulnerabilità importante negli attacchi ransomware, in particolare quelli che coinvolgono tattiche di forza bruta su RDP. Usa password forti e complesse e cambiale regolarmente. Prendi in considerazione l'utilizzo di un gestore di password per archiviare e generare password univoche per diversi account.
5. Disattiva le macro e limita l'esecuzione degli script: molte infezioni da ransomware iniziano tramite macro dannose nei documenti o sfruttando motori di scripting come PowerShell. Disattiva le macro per impostazione predefinita e limita l'esecuzione degli script per ridurre al minimo il rischio di infezione.
6. Utilizzare un firewall e la segmentazione di rete: un firewall può bloccare l'accesso non autorizzato al sistema e la segmentazione di rete può ridurre la diffusione del ransomware all'interno di un'organizzazione. Isolando i sistemi critici e limitando l'accesso alla rete, è possibile contenere i danni causati da un attacco.

Conclusione: resta informato e preparato

Il ransomware Ior, come altri membri della famiglia Dharma, rappresenta una seria minaccia sia per gli individui che per le organizzazioni. La sua capacità di crittografare i dati, disattivare le funzionalità di sicurezza e propagarsi attraverso reti compromesse lo rende un avversario formidabile. Tuttavia, adottando le best practice descritte sopra (backup regolari, aggiornamenti software, solidi controlli di accesso remoto e password complesse), puoi rafforzare le tue difese e ridurre al minimo l'impatto di un attacco ransomware. La chiave per rimanere al sicuro è la vigilanza proattiva e l'impegno verso le best practice di sicurezza informatica.

La richiesta di riscatto mostrata dal Ransomware Ior come una finestra pop-up:

'All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: jasalivan@420blaze.it YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:ja.salivan@keemail.me
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

Messaggio degli aggressori recapitato come file di testo:

'You want to return?

write email jasalivan@420blaze.it or ja.salivan@keemail.me'