Theft Ransomware

Šiuolaikinė grėsmių aplinka negailestinga. Kibernetiniai nusikaltėliai nuolat tobulina savo įrankius, kad galėtų išnaudoti nepasiruošusius vartotojus. Viena iš žalingiausių šių grėsmių yra išpirkos reikalaujanti programinė įranga – kenkėjiška programinė įranga, kuri šifruoja duomenis ir iš aukos išvilioja pinigus. Vienas iš tokių kylančių variantų yra žinomas kaip „Theft Ransomware“, kuris jau pastebėtas kenkiantis nieko neįtariančioms sistemoms.

Kas daro vagystės išpirkos reikalaujančią programinę įrangą pavojinga

„Theft Ransomware“ yra nauja atmaina, susijusi su liūdnai pagarsėjusia „Dharma“ išpirkos reikalaujančių programų šeima – grupe, gerai žinoma dėl to, kad taikosi tiek į asmenis, tiek į organizacijas. Patekusi į įrenginį, kenkėjiška programa užšifruoja failus ir pervadina juos pridėdama:

• Unikalus aukos ID
• Užpuolikų el. pašto adresas
• „.theft“ plėtinys

Pavyzdžiui, „1.png“ tampa „1.png.id-9ECFA84E.[datatheft@tuta.io].theft“.

Tuomet aukoms pateikiami išpirkos rašteliai tekstinių failų („info.txt“) ir iššokančiojo lango pavidalu. Nors tekstinė pastaba yra glausta ir joje pateikiami tik kontaktiniai duomenys, iššokančiajame lange pateikiama daugiau informacijos, įskaitant garantiją, kad duomenis atkurti galima sumokėjus išpirką. Užpuolikai netgi siūlo „iššifravimo įrodymą“, leisdami nemokamai atkurti tris mažus, nereikšmingus failus.

Dar labiau spaudimą darydami nusikaltėliai tvirtina pavogę neskelbtinus verslo duomenis ir grasina juos nutekinti, jei bus atsisakyta mokėti.

Techninės grėsmės charakteristikos

Kaip ir kiti „Dharma“ pagrindu sukurti variantai, „Theft Ransomware“ neužrakina visų sistemų, o šifruoja vietinius ir tinkle bendrinamus failus. Kenkėjiška programa aktyviai:

• Nutraukia procesus, susietus su naudojamais failais (duomenų bazėmis, skaitytuvais ir kt.)
• Nukopijuoja save į kelią %LOCALAPPDATA% ir registruoja duomenų tęstinumą per vykdymo raktus
• Nustato, kad sistema automatiškai įsijungtų perkraunant sistemą
• Ištrina šešėlines kopijas, kad būtų išvengta lengvo atkūrimo

Kenkėjiška programa taip pat renka geolokacijos duomenis, kad nustatytų, ar tęsti šifravimą, galbūt neįtraukiant tam tikrų regionų.

Kaip plinta infekcija

„Theft Ransomware“ naudoja įvairias įsiskverbimo taktikas, iš kurių dažniausios yra silpnai apsaugotos RDP (nuotolinio darbalaukio protokolo) paslaugos. Dažnas patekimo taškas yra „brute-force“ ir žodyninės atakos prieš prastai apsaugotas paskyras. Patekusi į vidų, kenkėjiška programa gali netgi išjungti užkardas, kad palengvintų savo veikimą.

Kiti gerai žinomi platinimo kanalai yra šie:

Sukčiavimas apsimetant ir socialinė inžinerija – kenkėjiški priedai arba nuorodos el. laiškuose, tiesioginėse žinutėse ir įrašuose.

Trojos arkliai ir užpakalinės durys – naudojami tyliai paleisti išpirkos reikalaujančią programinę įrangą.

Kenkėjiška reklama ir atsitiktiniai atsisiuntimai – suaktyvinami tiesiog apsilankius pažeistoje svetainėje.

Įtartini programinės įrangos šaltiniai – piratiniai įrankiai, nemokamų programų paketai ir netikri atnaujinimai.

Išimamos laikmenos ir vietiniai tinklai – leidžia kenkėjiškai programai plisti sistemoje, kai ji patenka į ją.

Kodėl išpirkos mokėjimas yra rizikingas statymas

Iššifruoti vagystės būdu užšifruotus failus be užpuolikų rakto yra beveik neįmanoma. Nors kai kurie išpirkos reikalaujančių programų variantai turi trūkumų, „Dharma“ pagrindu sukurtos grėsmės paprastai yra tvirtos. Svarbu tai, kad sumokėjus išpirką negarantuojama atsigavimas, daugelis aukų lieka tuščiomis rankomis net ir pervedusios lėšas. Dar blogiau, kad sumokėjus išpirką tik finansuojamos tolesnės nusikalstamos operacijos.

Apsaugos nuo išpirkos reikalaujančių programų stiprinimas

Geriausias būdas kovoti su išpirkos reikalaujančia kenkėjiška programa yra prevencija. Kadangi pašalinus kenkėjišką programą užšifruoti failai nebus automatiškai atkurti, vartotojai turi sutelkti dėmesį į atsparumą ir aktyvią apsaugą. Pagrindinės praktikos, kurių turėtų laikytis kiekvienas vartotojas:

• Reguliarios atsarginės kopijos – saugokite svarbių failų kopijas keliose saugiose vietose, pvz., neprisijungusiuose diskuose ir debesies paslaugose, nesusietose su užkrėsta sistema.
• Atnaujinti programinę įrangą ir sistemas – įdiegti pataisymus, kad pašalintumėte pažeidžiamumus, kuriais naudojasi išpirkos reikalaujančios programos.
• Naudokite griežtą autentifikavimą – apsaugokite RDP paslaugas unikaliais, sudėtingais slaptažodžiais ir įjunkite daugiafaktorinį autentifikavimą.
• Būkite atsargūs su el. laiškais ir nuorodomis – neatidarykite netikėtų priedų ir nespustelėkite nežinomų nuorodų, net jei jos atrodo teisėtos.
• Apriboti administratoriaus teises – apriboti teises, kad sumažintų galimo kenkėjiškų programų vykdymo poveikį.
• Įdiekite patikimas saugos priemones – naudokite apsaugos nuo kenkėjiškų programų sprendimus su išpirkos reikalaujančių programų apsaugos funkcijomis.

• Išjunkite makrokomandas ir scenarijus – daugelį išpirkos reikalaujančių programų atakų sukelia „Office“ dokumentai arba scenarijai.

• Segmentuoti tinklus – užkirsti kelią kenkėjiškų programų plitimui verslo aplinkoje.

Baigiamosios mintys

Išpirkos reikalaujanti programa „Theft Ransomware“ pabrėžia nuolatinę „Dharma“ šeimos evoliuciją ir jos ilgalaikį vaidmenį pasaulinėse išpirkos reikalaujančių programų kampanijose. Šifravimo, duomenų vagysčių ir turto prievartavimo derinys daro ją ypač žalingą. Kadangi failų atkūrimas dažnai neįmanomas be švarių atsarginių kopijų, vienintelė tikra gynyba yra daugiasluoksnė prevencija, stipri kibernetinė higiena ir patikimos atkūrimo strategijos.