Ymir Ransomware

Skaitmeninė era suteikė nepaprasto patogumo, bet taip pat atvėrė kelią vis sudėtingesnėms grėsmėms, tokioms kaip išpirkos reikalaujančios programos. Asmeninių ir verslo įrenginių apsauga nuo išpirkos reikalaujančių programų ir kitų grėsmių yra labai svarbi norint apsaugoti duomenis, finansus ir reputaciją. Viena iš tokių sudėtingų grėsmių, keliančių bangas kibernetinio saugumo sluoksniuose, yra Ymir Ransomware.

Kas yra Ymir Ransomware?

„Ymir Ransomware“ yra sudėtinga grėsmė, kuri naudoja pažangų šifravimą aukų failams užrakinti ir reikalauja sumokėti už jų atkūrimą. Ši išpirkos reikalaujanti programinė įranga naudoja ChaCha20 kriptografinį algoritmą, kad užtikrintų, jog aukos susidurtų su dideliais iššūkiais bandant savarankiškai atkurti failus. Kai Ymir užšifruoja failą, jis prideda unikalų plėtinį, sudarytą iš atsitiktinių simbolių, labai pakeičiant failų pavadinimus – pavyzdžiui, „1.png“ gali tapti „1.jpg.6C5oy2dVr6“.

Daugiasluoksnė Ymiro puolimo strategija

Kai šifravimo procesas bus baigtas, Ymir imasi kelių veiksmų, kad užtikrintų, jog auka žinotų apie išpuolį ir išpirkos sąlygas. Išpirkos reikalaujanti programa kiekviename paveiktame kataloge talpina išpirkos raštelius pavadinimu „INCIDENT_REPORT.pdf“. Be to, labiau nerimą kelianti priemonė yra viso ekrano pranešimo rodymas prieš aukos prisijungimo ekraną, veiksmingai užrakinant jį iš sistemos, kol nebus imtasi veiksmų.

Išankstinis prisijungimo pranešimas informuoja aukas, kad jų tinklas buvo pažeistas, jų failai užšifruoti ir slapti duomenys išfiltruoti. Ji ragina juos pranešti apie incidentą savo vadovams ir įspėja, kad bet kokie bandymai iššifruoti failus neleistinais įrankiais gali sukelti negrįžtamą žalą.

Ymiro išpirkos rašto sąlygos

Ymiro išpirkos rašte, įtrauktame į „INCIDENT_REPORT.pdf“, pakartojami pagrindiniai atakos dalykai ir detalizuojami užpuolikų reikalavimai. Raštelyje žadama, kad sumokėjus išpirką, auka gaus iššifravimo įrankius, o visi surinkti duomenys bus ištrinti iš užpuolikų serverių. Kita vertus, jei mokėjimas nebus atliktas, dokumentas kelia grėsmę, kad išfiltruoti duomenys bus viešai atskleisti, o tai gali sukelti didelę finansinę ir reputaciją. Šios grėsmės apima informacijos pardavimą „darknet“ forumuose arba dalijimąsi ja su žiniasklaidos priemonėmis ar konkurentais.

Užpuolikai leidžia aukoms iššifruoti iki trijų užšifruotų failų, kaip įrodymą, kad atkūrimas yra įmanomas. Tai kartu su duomenų išfiltravimo įrodymais pabrėžia rimtą pažeidimo pobūdį.

Sudėtinga infekcijos grandinė: taktika ir įrankiai

„Ymir“ atakos yra sudėtingos, apimančios pradinį duomenų vagystės etapą, vykdomą naudojant „RustyStealer“, prieš diegiant pačią išpirkos reikalaujančią programinę įrangą – dažnai po kelių dienų. Kibernetiniai nusikaltėliai gauna prieigą prie sistemų naudodami „PowerShell“ nuotolinio valdymo komandas, naudodami įvairius įrankius, skirtus valdyti ir vykdyti savo planus.

Kai kurie Ymir arsenale pastebėti įrankiai:

• Process Hacker ir pažangus IP skaitytuvas, skirtas sistemos diagnostikai ir šoniniam judėjimui.
• „WinRM“ („Windows Remote Management“) ir „SystemBC“ kenkėjiškos programos, padedančios plisti infekciją vietiniuose tinkluose.
• Sudėtingi metodai, skirti išvengti aptikimo, apima atminties operacijas, kai atliekami šimtai funkcijų iškvietimų, siekiant palaipsniui įvesti kenkėjišką kodą.

Atšiauri išpirkos mokėjimo realybė

Vienas iš svarbiausių ransomware atakų aspektų yra suprasti išpirkos mokėjimo beprasmybę. Kibernetinio saugumo ekspertai pabrėžia, kad reikalaujamos išpirkos sumokėjimas negarantuoja pažadėtų iššifravimo raktų ar programinės įrangos. Daugeliu atvejų aukos po sumokėjimo lieka tuščiomis rankomis, be jokios naudos finansavusios tolesnę nusikalstamą veiklą.

Pagrindinė saugumo praktika, skirta apsiginti nuo Ymir Ransomware

Norint apsisaugoti nuo Ymir Ransomware ir panašių grėsmių, labai svarbu įgyvendinti visapusiškas kibernetinio saugumo priemones. Štai keletas rekomenduojamų praktikų:

• Reguliarus duomenų atsarginės kopijos : Užtikrinkite, kad duomenų atsarginės kopijos būtų dažnai kuriamos saugioje neprisijungus vietoje. Šis veiksmas yra viena iš veiksmingiausių apsaugos priemonių nuo išpirkos reikalaujančių programų, nes ji suteikia atkūrimo parinktį, kuri nepriklauso nuo bendravimo su užpuolikais.
• Stiprus galutinio taško saugumas : naudokite patikimus galinių taškų apsaugos sprendimus, galinčius aptikti ir blokuoti įtartiną veiklą. Tai apima elgesiu pagrįstą aptikimą, kuris identifikuoja išpirkos reikalaujančią programinę įrangą pagal jos veiksmus, o ne tik pagal žinomus parašus.
• Daugiafaktoris autentifikavimas (MFA) : įgalinkite MFA, kai tik įmanoma, nes tai padidina vartotojų paskyrų saugumą. Tai gali perimti neteisėtą prieigą, net jei prisijungimo duomenys yra pažeisti.
• Pataisų valdymas : atnaujinkite visą programinę įrangą, ypač operacines sistemas ir dažniausiai naudojamas programas. Išpirkos reikalaujančių programų operatoriai dažnai naudojasi pasenusios programinės įrangos pažeidžiamumais.
• Tinklo segmentavimas : izoliuokite svarbiausius tinklo išteklius, kad pažeidimo atveju užpuolikai negalėtų lengvai pasiekti visos sistemos ar tinklo.

Išlikti priešais grėsmes

„Ransomware“ grėsmės, tokios kaip „Ymir“, pabrėžia aktyvių gynybos strategijų poreikį. Nors iššifravimas gali būti neįmanomas be užpuolikų bendradarbiavimo, patikimos prevencinės priemonės gali sumažinti atakos poveikį ir tikimybę. Investavimas į tvirtą kibernetinio saugumo infrastruktūrą ir budrumo kultūros puoselėjimas yra esminiai žingsniai siekiant išlaikyti atsparumą besivystančioms išpirkos programinės įrangos grėsmėms.

Ymir Ransomware vaizdo įrašas

Patarimas: ĮJUNKITE garsą ir žiūrėkite vaizdo įrašą viso ekrano režimu .