Theft Ransomware

Mūsdienu apdraudējumu vide ir nežēlīga. Kibernoziedznieki pastāvīgi pilnveido savus rīkus, lai izmantotu nesagatavotus lietotājus. Starp viskaitīgākajiem no šiem draudiem ir izspiedējvīrusi — ļaunprātīga programmatūra, kas šifrē datus un izspiež no upuriem naudu. Viens no šādiem jauniem variantiem ir pazīstams kā zādzības izspiedējvīrusi, kas jau ir novēroti nodarot postījumus neko nenojaušošās sistēmās.

Kas padara zādzības izspiedējvīrusu bīstamu

Zādzības izspiedējvīruss ir jauns paveids, kas saistīts ar bēdīgi slaveno Dharma izspiedējvīrusu saimi — grupu, kas ir labi pazīstama ar to, ka tā uzbrūk gan indivīdiem, gan organizācijām. Iekļūstot ierīcē, ļaunprogrammatūra šifrē failus un pārdēvē tos, pievienojot:

• Unikāls upura ID
• Uzbrucēju e-pasta adrese
• Paplašinājums “.theft”

Piemēram, “1.png” kļūst par “1.png.id-9ECFA84E.[datatheft@tuta.io].theft”.

Pēc tam cietušajiem tiek parādītas izpirkuma prasības teksta failu (“info.txt”) un uznirstošā loga veidā. Lai gan teksta piezīme ir kodolīga, sniedzot tikai kontaktinformāciju, uznirstošajā logā ir sniegta plašāka informācija, tostarp apliecinājums, ka datu atgūšana ir iespējama, ja tiek samaksāta izpirkuma maksa. Uzbrucēji pat piedāvā “atšifrēšanas pierādījumu”, ļaujot bez maksas atjaunot trīs mazus, nekritiskus failus.

Pieliekot vēl lielāku spiedienu, noziedznieki apgalvo, ka ir nozaguši sensitīvus uzņēmuma datus, un draud tos nopludināt, ja maksājums tiks atteikts.

Draudu tehniskās īpašības

Tāpat kā citi uz Dharma balstīti varianti, Theft Ransomware nebloķē visas sistēmas, bet gan šifrē lokālos un tīklā koplietotos failus. Ļaunprogramma aktīvi:

• Pārtrauc procesus, kas saistīti ar izmantotajiem failiem (datubāzēm, lasītājiem utt.).
• Kopē sevi uz ceļu %LOCALAPPDATA% un reģistrē noturību, izmantojot palaišanas atslēgas
• Iestata automātisku startēšanu, restartējot sistēmu
• Dzēš sējuma ēnkopijas, lai novērstu vieglu atkopšanu

Ļaunprogrammatūra arī apkopo ģeolokācijas datus, lai noteiktu, vai turpināt šifrēšanu, iespējams, izslēdzot noteiktus reģionus.

Kā izplatās infekcija

Izspiedējvīrusi izmanto vairākas infiltrācijas taktikas, no kurām visizplatītākās ir vāji aizsargāti RDP (attālās darbvirsmas protokola) pakalpojumi. Bieži vien iekļūšanas punkts ir brutāla spēka un vārdnīcu uzbrukumi vāji aizsargātiem kontiem. Nonākot iekšā, ļaunprogrammatūra var pat atspējot ugunsmūrus, lai atvieglotu savu darbību.

Citi labi zināmi izplatīšanas kanāli ir:

Pikšķerēšana un sociālā inženierija — ļaunprātīgi pielikumi vai saites e-pastos, tiešajās ziņās un ierakstos.

Trojas zirgi un aizmugures durvis — tiek izmantotas, lai nemanāmi palaistu izspiedējvīrusu.

Ļaunprātīga reklamēšana un nejaušas lejupielādes — tiek aktivizētas, vienkārši apmeklējot apdraudētu vietni.

Aizdomīgas programmatūras avoti — pirātiski rīki, bezmaksas programmatūras pakotnes un viltoti atjauninājumi.

Noņemami datu nesēji un lokālie tīkli — ļauj ļaunprogrammatūrai izplatīties sistēmas iekšienē, tiklīdz tā nonāk sistēmā.

Kāpēc izpirkuma maksas maksāšana ir riskanta likme

Atšifrēt zādzības šifrētus failus bez uzbrucēju atslēgas ir gandrīz neiespējami. Lai gan daži izspiedējvīrusu varianti ir kļūdaini, uz Dharma balstītie draudi parasti ir stabili veidoti. Svarīgi ir tas, ka izpirkuma maksas samaksa negarantē atgūšanu, daudzi upuri paliek tukšām rokām pat pēc līdzekļu pārskaitīšanas. Vēl ļaunāk, samaksa tikai finansē turpmākas noziedzīgas darbības.

Aizsardzības stiprināšana pret izspiedējvīrusu

Labākais veids, kā cīnīties pret zādzības izspiedējvīrusu, ir profilakse. Tā kā ļaunprogrammatūras noņemšana automātiski neatjaunos šifrētos failus, lietotājiem jākoncentrējas uz noturību un proaktīvu aizsardzību. Galvenās prakses, kas jāievēro katram lietotājam, ir šādas:

• Regulāras dublējumkopijas — saglabājiet svarīgu failu kopijas vairākās drošās vietās, piemēram, bezsaistes diskos un mākoņpakalpojumos, kas nav piesaistīti inficētajai sistēmai.
• Atjauniniet programmatūru un sistēmas — lietojiet ielāpus, lai novērstu ievainojamības, ko izmanto izspiedējvīrusi.
• Izmantojiet spēcīgu autentifikāciju — nodrošiniet RDP pakalpojumus ar unikālām, sarežģītām parolēm un iespējojiet daudzfaktoru autentifikāciju.
• Esiet uzmanīgi ar e-pastiem un saitēm — neatveriet negaidītus pielikumus un neklikšķiniet uz nezināmām saitēm, pat ja tās šķiet īstas.
• Ierobežot administratora tiesības — ierobežojiet privilēģijas, lai samazinātu iespējamās ļaunprogrammatūras izpildes ietekmi.
• Instalējiet cienījamus drošības rīkus — izmantojiet pretļaunatūras risinājumus ar izspiedējvīrusu aizsardzības funkcijām.

• Atspējojiet makro un skriptus — daudzi izspiedējvīrusu uzbrukumi tiek aktivizēti, izmantojot Office dokumentus vai skriptus.

• Segmentēt tīklus — novērst ļaunprogrammatūras izplatīšanos laterāli visā uzņēmējdarbības vidē.

Noslēguma domas

Izspiedējvīrusi, kas izraisa zādzības, izceļ Dharma saimes nepārtraukto attīstību un to ilgstošo lomu globālajās izspiedējvīrusu kampaņās. Īpaši kaitīgu to padara šifrēšanas, datu zādzības un izspiešanas kombinācija. Tā kā failu atgūšana bieži vien nav iespējama bez tīrām dublējumkopijām, vienīgā patiesā aizsardzība ir slāņveida profilakse, spēcīga kiberhigiēna un uzticamas atkopšanas stratēģijas.