LukaLocker Ransomware

Per trumpą laiką pasirodė naujas išpirkos reikalaujančių programų veikėjas, taikantis dvigubo turto prievartavimo taktiką. Šis subjektas pristato naujovišką saugyklų kenkėjišką programinę įrangą, pavadintą LukaLocker Ransomware, aprūpintą įvairiais vengimo būdais, kad būtų užgožtos jos operacijos ir trukdoma atlikti teismo ekspertizę. Kibernetinė nusikaltėlių grupė, tyrėjų įvardijama kaip „Vulkano demonas“, sulaukė dėmesio dėl naujo „LukaLocker“ naudojimo, kuris buvo anksčiau nematyta kenkėjiška programinė įranga. Šios grėsmės užšifruoti failai pridedami su plėtiniu „.nba“.

Taktika, pastebėta vulkano demonų atakų metu

Užpuolikai taiko sudėtingus vengimo metodus, pvz., diegia minimalius aukų registravimo ir stebėjimo sprendimus prieš pradėdami atakas. Be to, jie naudoja „grasinančius“ telefono skambučius iš „No Caller ID“ numerių, kad priverstų aukas sumokėti išpirką arba derėtis dėl sąlygų.

Prieš naudojimą žurnalai sistemingai išvalomi, o tai trukdo atlikti išsamią aptiktų incidentų teismo ekspertizę. Grupė, žinoma kaip Vulkano demonas, susilaiko nuo nuotėkio vietos, nepaisant to, kad per savo veiklą taiko dvigubą turto prievartavimo taktiką.

Išpuolių metu „Vulcano Demon“ naudoja pažeistus administracinius kredencialus, gautus iš aukų tinklų, kad pristatytų „Linux“ „LukaLocker“ variantą. Ši kenkėjiška programa efektyviai užšifruoja ir Windows darbo vietas, ir serverius. Prieš įdiegdami išpirkos reikalaujančią programinę įrangą, užpuolikai išfiltruoja duomenis į savo komandų ir valdymo serverį (C2), padidindami savo svertą dvigubo turto prievartavimo scenarijuose.

Aukoms nurodoma bendrauti naudojant qTox pranešimų programinę įrangą ir laukti techninės pagalbos skambučių, o tai apsunkina pastangas atsekti užpuoliko ir aukų ryšį.

„LukaLocker Ransomware“ nutraukia saugos programinę įrangą ir užrakina duomenis

„LukaLocker Ransomware“ buvo atrasta 2024 m. birželio mėn. kaip x64 PE dvejetainis failas, sukurtas C++. Pasak mokslininkų, jame naudojamas API užmaskavimas ir dinaminė API skiriamoji geba, kad būtų užgožtos žalingos operacijos, išvengta aptikimo, analizės ir atvirkštinės inžinerijos. Išpirkos reikalaujanti programa naudoja Chacha8 šifrą masiniam duomenų šifravimui. Jis sugeneruoja atsitiktinį Chacha8 raktą ir nonce, naudodamas elipsinės kreivės Diffie-Hellman (ECDH) rakto susitarimo algoritmą per Curve25519. Failai gali būti užšifruoti visiškai arba skirtingais procentais, pvz., 50%, 20% arba 10%.

Vykdant, nebent nurodyta „--sd-killer-off“, „LukaLocker“ nedelsiant nutraukia keletą svarbių saugos ir stebėjimo paslaugų visame tinkle. Tai apima apsaugos nuo kenkėjiškų programų ir galinių taškų apsaugos įrankius, atsarginių kopijų kūrimo ir atkūrimo sprendimus, duomenų bazių programinę įrangą iš „Microsoft“, IBM ir „Oracle“, „Microsoft Exchange Server“, virtualizacijos programinę įrangą ir nuotolinės prieigos bei stebėjimo įrankius. Taip pat nutraukiami procesai, susiję su žiniatinklio naršyklėmis, „Microsoft Office“ ir įvairiomis debesies ir nuotolinės prieigos programomis.

Kaip geriau apsaugoti savo duomenis ir įrenginius nuo „ransomware“ grėsmių?

Norėdami geriau apsaugoti savo duomenis ir įrenginius nuo išpirkos reikalaujančių ir kenkėjiškų programų grėsmių, apsvarstykite galimybę įgyvendinti šiuos veiksmus:

• Atnaujinkite savo programas : reguliariai atnaujinkite operacinę sistemą, programas ir saugos programinę įrangą, kad pataisytumėte pažeidžiamumą, kurį gali išnaudoti kenkėjiška programa.
• Naudokite stiprius, unikalius slaptažodžius : naudokite sudėtingus slaptažodžius ir dažnai juos keiskite. Apsvarstykite galimybę rasti slaptažodžių tvarkyklę, kad galėtumėte saugiai juos sekti.
• Įgalinti kelių faktorių autentifikavimą (MFA) : pridėkite papildomą saugos sluoksnį įgalindami MFA jį palaikančiose paskyrose, todėl užpuolikams bus sunkiau gauti neteisėtą prieigą.
• Reguliariai kurkite atsargines duomenų kopijas : kurkite ir tvarkykite reguliarias svarbių failų atsargines kopijas. Saugokite atsargines kopijas atskiroje vietoje, neprisijungę arba debesyje, kad užtikrintumėte jų saugumą, net jei jūsų pagrindinė sistema yra pažeista.
• Būkite atsargūs su el. laiškais ir nuorodomis : venkite atidaryti priedų arba nesekti nuorodų iš nežinomų ar įtartinų šaltinių. Prieš bendraudami su netikėtais el. laiškais, patvirtinkite siuntėjo tapatybę.
• Įdiekite ir prižiūrėkite saugos programinę įrangą : naudokite patikimą apsaugos nuo kenkėjiškų programų programinę įrangą ir nuolat ją atnaujinkite. Įgalinkite apsaugą realiuoju laiku ir atlikite reguliarius nuskaitymus.
• Apsaugokite tinklą : naudokite stiprų, unikalų „Wi-Fi“ slaptažodį ir įjunkite WPA3 šifravimą. Apsvarstykite galimybę sukurti svečių tinklą lankytojams, kad jūsų pagrindinis tinklas būtų saugus.
• Išjungti makrokomandas Office dokumentuose : išjungti makrokomandas Microsoft Office dokumentuose, nebent jums jų konkrečiai reikia. Makrokomandos yra įprastas kenkėjiškų programų platinimo būdas.
• Mokykite save ir kitus : būkite informuoti apie naujausias kibernetinio saugumo grėsmes ir geriausią praktiką. Supažindinkite šeimos narius ar kolegas apie sukčiavimo taktiką ir saugų elgesį internete.
• Naudokite ugniasienes : įjunkite ugniasienes savo įrenginiuose ir tinkle, kad blokuotumėte neteisėtą prieigą ir stebėtumėte gaunamą ir išeinantį srautą, ar nėra įtartinos veiklos.

Sujungus šias strategijas, rizika tapti išpirkos reikalaujančių programų ir kitų kenkėjiškų programų auka gali būti drastiškai sumažinta.