LukaLocker Ransomware

En ny ransomware-aktør som bruker dobbeltutpressingstaktikker har dukket opp med en rekke angrep i løpet av kort tid. Denne enheten introduserer en innovativ skap-malware kalt LukaLocker Ransomware, utstyrt med ulike unnvikelsesteknikker for å tilsløre operasjonene og hindre rettsmedisinske undersøkelser. Identifisert av forskere som "Vulkandemonen", har en nettkriminell gruppe fått oppmerksomhet for sin nye bruk av LukaLocker, som var et tidligere usett skap-malware. Filene kryptert av denne trusselen er lagt til med utvidelsen '.nba'.

Taktikk observert i vulkandemonangrepene

Angriperne bruker sofistikerte unndragelsesmetoder, som å distribuere minimalt med offerlogging og overvåkingsløsninger før de starter angrep. I tillegg bruker de "truende" telefonsamtaler fra "Ingen oppringer-ID"-numre for å tvinge ofrene til å betale løsepenger eller forhandle vilkår.

Før utnyttelse blir logger systematisk ryddet, noe som hindrer omfattende rettsmedisinske analyser i oppdagede hendelser. Gruppen kjent som Volcano Demon, avstår fra å opprettholde et lekkasjested til tross for at de har brukt doble utpressingstaktikker under operasjonene.

Under angrepene deres bruker Volcano Demon kompromitterte administrative legitimasjoner innhentet fra offernettverk for å introdusere en Linux-variant av LukaLocker. Denne skadelige programvaren krypterer effektivt både Windows-arbeidsstasjoner og servere. Før de distribuerer løsepengeprogramvare, eksfiltrerer angriperne data til Command-and-Control-serveren (C2), og forbedrer deres utnyttelse i scenarier med dobbel utpressing.

Ofre blir bedt om å kommunisere via qTox meldingsprogramvare og avvente tilbakeringinger for teknisk støtte, noe som kompliserer arbeidet med å spore kommunikasjon mellom angriperne og ofrene.

LukaLocker Ransomware avslutter sikkerhetsprogramvare og låser data

LukaLocker Ransomware ble oppdaget i juni 2024 som en x64 PE-binær utviklet i C++. I følge forskere bruker den API-obfuskering og dynamisk API-oppløsning for å skjule dens skadelige operasjoner, og unngå deteksjon, analyse og omvendt utvikling. Ransomware bruker Chacha8-chifferet for å kryptere data i bulk. Den genererer en tilfeldig Chacha8-nøkkel og nonce ved å bruke elliptisk kurve Diffie-Hellman (ECDH) nøkkelavtalealgoritmen over Curve25519. Filer kan krypteres helt eller med forskjellige prosenter, for eksempel 50 %, 20 % eller 10 %.

Ved kjøring, med mindre '--sd-killer-off' er spesifisert, avslutter LukaLocker umiddelbart flere kritiske sikkerhets- og overvåkingstjenester på tvers av nettverket. Disse inkluderer anti-malware og endepunktbeskyttelsesverktøy, sikkerhetskopierings- og gjenopprettingsløsninger, databaseprogramvare fra Microsoft, IBM og Oracle, Microsoft Exchange Server, virtualiseringsprogramvare og fjerntilgang og overvåkingsverktøy. Den avslutter også prosesser relatert til nettlesere, Microsoft Office og ulike sky- og fjerntilgangsapplikasjoner.

Hvordan beskytte dataene og enhetene dine bedre mot ransomware-trusler?

For å bedre beskytte dataene og enhetene dine mot ransomware og skadelig programvare, bør du vurdere å implementere følgende praksis:

• KeeYour Applications Updated : Oppdater regelmessig operativsystemet, programmene og sikkerhetsprogramvaren for å korrigere sårbarheter som kan utnyttes av skadelig programvare.
• Bruk sterke, unike passord : Bruk komplekse passord og bytt dem ofte. Vurder å finne en passordbehandler for å holde styr på dem på en sikker måte.
• Aktiver Multi-Factor Authentication (MFA) : Legg til et ekstra lag med sikkerhet ved å aktivere MFA på kontoer som støtter det, noe som gjør det vanskeligere for angripere å få uautorisert tilgang.
• Sikkerhetskopier data regelmessig : Lag og vedlikehold regelmessige sikkerhetskopier av viktige filer. Lagre sikkerhetskopier på et eget sted, enten offline eller i skyen, for å garantere deres sikkerhet selv om hovedsystemet er kompromittert.
• Vær forsiktig med e-poster og lenker : Unngå å åpne vedlegg eller følge lenker fra ukjente eller mistenkelige kilder. Bekreft avsenderens identitet før du samhandler med uventede e-poster.
• Installer og vedlikehold sikkerhetsprogramvare : Bruk anerkjent anti-malware-programvare og hold den oppdatert. Aktiver sanntidsbeskyttelse og kjør regelmessige skanninger.
• Sikre nettverket ditt : Bruk et sterkt, unikt Wi-Fi-passord og aktiver WPA3-kryptering. Vurder å etablere et gjestenettverk for besøkende for å holde det primære nettverket ditt sikkert.
• Deaktiver makroer i Office-dokumenter : Deaktiver makroer i Microsoft Office-dokumenter med mindre du spesifikt trenger dem. Makroer er en vanlig metode for å spre skadelig programvare.
• Utdan deg selv og andre : Hold deg informert om de siste cybersikkerhetstruslene og beste praksis. Lær familiemedlemmer eller kolleger om phishing-taktikker og sikker atferd på nettet.
• Bruk brannmurer : Aktiver brannmurer på enhetene og nettverket for å blokkere uautorisert tilgang og overvåke innkommende og utgående trafikk for mistenkelig aktivitet.

Ved å kombinere disse strategiene kan risikoen for å bli offer for løsepengeprogramvare og andre skadevaretrusler reduseres drastisk.