Przyjaciele Ransomware

Ochrona urządzeń przed złośliwym oprogramowaniem jest ważniejsza niż kiedykolwiek, ponieważ współczesne cyberzagrożenia mogą szyfrować cenne dane, zakłócać działalność firm i ujawniać poufne informacje. W szczególności ransomware pozostaje jedną z najbardziej szkodliwych form złośliwego oprogramowania, ponieważ łączy szyfrowanie danych z taktykami wymuszeń, mającymi na celu wymuszenie na ofiarach zapłaty dużych sum pieniędzy. Jednym z godnych uwagi przykładów jest Friends Ransomware, zaawansowane zagrożenie, które atakuje szeroką gamę typów plików, a jednocześnie wykorzystuje kradzież danych, aby zwiększyć prawdopodobieństwo otrzymania zapłaty.

Friends Ransomware: Podwójne cyberzagrożenie wymuszające okup

Friends Ransomware to złośliwy program odkryty przez badaczy cyberbezpieczeństwa, który szyfruje pliki w zainfekowanych systemach i żąda okupu w zamian za klucz deszyfrujący. Oprócz szyfrowania plików, operatorzy tego zagrożenia twierdzą, że kradną poufne informacje ofiarom, a następnie blokują ich dane. Ta taktyka, powszechnie znana jako podwójne wymuszenie, pozwala atakującym zagrozić zarówno utratą danych, jak i publicznym ujawnieniem poufnych informacji.

Po uruchomieniu w systemie, Friends Ransomware skanuje wiele typów plików i je szyfruje. Podczas tego procesu dodaje do zainfekowanych plików rozszerzenie „.friends124”. Na przykład, plik o nazwie „1.png” zostaje przekształcony w „1.png.friends124”, a plik „2.pdf” w „2.pdf.friends124”. To rozszerzenie wyraźnie wskazuje, że pliki zostały przetworzone przez złośliwe oprogramowanie i nie są już dostępne w normalny sposób.

Proces szyfrowania i żądania okupu

Po zakończeniu szyfrowania ransomware tworzy plik o nazwie „RANSOM_NOTE.html” zawierający instrukcje dla ofiary. Notatka informuje użytkowników o zaszyfrowaniu plików i zawiera dane kontaktowe umożliwiające rozpoczęcie negocjacji w sprawie okupu. Ofiary otrzymują instrukcje, aby skontaktować się z atakującymi za pośrednictwem adresów e-mail „recovery1@salamati.vip” i „recovery1@amniyat.xyz”. Wspomniano również o alternatywnej metodzie kontaktu za pośrednictwem sieci Tor.

W liście z żądaniem okupu twierdzi się, że poufne i osobiste dane zostały zebrane i przechowywane na prywatnym serwerze kontrolowanym przez atakujących. Zgodnie z treścią wiadomości, informacje te zostaną opublikowane lub sprzedane osobom trzecim, jeśli ofiara odmówi spełnienia żądania okupu. Aby przekonać ofiary o możliwości odzyskania plików, przestępcy oferują bezpłatne odszyfrowanie dwóch lub trzech mniej istotnych plików. W liście ostrzega się również, że kwota okupu wzrośnie, jeśli kontakt nie zostanie nawiązany w ciągu 72 godzin, i zaleca się utworzenie konta ProtonMail przed nawiązaniem kontaktu.

Dlaczego zapłacenie okupu jest ryzykowną decyzją

Ofiary często rozważają zapłacenie okupu, gdy krytyczne pliki stają się niedostępne. Jednak zapłacenie cyberprzestępcom nie gwarantuje skutecznego odzyskania danych. Wiele operacji ransomware pobierało okupy bez zapewnienia działających narzędzi deszyfrujących lub dostarczało narzędzia, które nie były w stanie przywrócić wszystkich zainfekowanych danych.

Nawet jeśli atakujący udostępnią narzędzie deszyfrujące, płatność wspiera działalność przestępczą i zachęca do przyszłych ataków na inne osoby i organizacje. Z tych powodów specjaliści ds. cyberbezpieczeństwa stanowczo odradzają płacenie żądań okupu. W większości przypadków zaszyfrowanych plików nie da się odzyskać bez klucza deszyfrującego atakujących, chyba że ransomware zawiera istotne luki w implementacji, które badacze mogą wykorzystać do opracowania darmowego deszyfratora.

Odzyskiwanie i reagowanie na incydenty

Natychmiastowym priorytetem po infekcji jest usunięcie Friends Ransomware z zainfekowanego systemu. Wyeliminowanie złośliwego oprogramowania pomaga zapobiec szyfrowaniu kolejnych plików i zmniejsza ryzyko dalszej złośliwej aktywności. Jednak samo usunięcie złośliwego oprogramowania nie przywróci już zaszyfrowanych danych.

Najbardziej niezawodną metodą odzyskiwania danych jest przywracanie plików z kopii zapasowych utworzonych przed wystąpieniem infekcji. Kopie zapasowe powinny być przechowywane oddzielnie od systemu głównego, aby nie zostały naruszone podczas ataku. Jeśli kopie zapasowe są podłączone do tej samej sieci lub są stale dostępne, ransomware może również próbować je zaszyfrować, pozbawiając ofiary możliwości odzyskania danych.

Jak rozprzestrzenia się ransomware Friends

Podobnie jak wiele rodzin ransomware, Friends Ransomware wykorzystuje wiele kanałów dystrybucji, aby dotrzeć do potencjalnych ofiar. E-maile phishingowe pozostają jedną z najskuteczniejszych metod dostarczania. Wiadomości te często zawierają złośliwe załączniki lub linki, które po otwarciu inicjują pobieranie złośliwego oprogramowania. Atakujący często wykorzystują pliki dokumentów zawierające złośliwe makra, skompresowane archiwa, pliki wykonywalne, pliki PDF i ładunki oparte na JavaScript.

Dodatkowe wektory infekcji obejmują trojany, które dyskretnie instalują ransomware, fałszywe mechanizmy aktualizacji oprogramowania, złośliwe reklamy, zainfekowane strony internetowe oraz pliki do pobrania pochodzące z niewiarygodnych źródeł. Portale z darmowym oprogramowaniem, sieci wymiany plików peer-to-peer i inne nieoficjalne platformy dystrybucji często hostują złośliwe pliki podszywające się pod legalne oprogramowanie. Zainfekowane dyski USB mogą również ułatwiać rozprzestrzenianie się ransomware między systemami.

Szczególnie częstym scenariuszem infekcji są cracki oprogramowania i pirackie narzędzia aktywacyjne. Cyberprzestępcy często maskują złośliwe oprogramowanie pod postacią darmowych alternatyw dla płatnego oprogramowania, wykorzystując w ten sposób użytkowników gotowych ominąć oficjalne kanały dystrybucji. Po uruchomieniu, te pozornie nieszkodliwe programy mogą bez ostrzeżenia zainstalować ransomware.

Wzmocnienie obrony przed oprogramowaniem ransomware

Skuteczna ochrona przed ransomware wymaga wielowarstwowej strategii bezpieczeństwa, która łączy zabezpieczenia techniczne z bezpieczeństwem użytkowników. Organizacje i osoby prywatne powinny utrzymywać renomowane oprogramowanie zabezpieczające, dbać o regularne aktualizacje systemów operacyjnych i aplikacji oraz wyłączać zbędne funkcje, które mogłyby zostać wykorzystane przez atakujących. Załączniki i linki do wiadomości e-mail z nieznanych lub nieoczekiwanych źródeł należy zawsze traktować z ostrożnością, nawet jeśli wydają się legalne.

Regularne tworzenie kopii zapasowych danych to jeden z najważniejszych środków obronnych. Przechowywanie wielu kopii zapasowych w oddzielnych lokalizacjach, takich jak zewnętrzne dyski offline i bezpieczne, zdalne rozwiązania pamięci masowej, znacznie zwiększa szanse na odzyskanie danych po ataku. Należy również okresowo przeprowadzać testy kopii zapasowych, aby potwierdzić, że dane można skutecznie odzyskać w razie potrzeby.

Do najważniejszych praktyk bezpieczeństwa należą:

• Aktualizuj systemy operacyjne, przeglądarki i aplikacje, instalując najnowsze poprawki zabezpieczeń.
• Używaj renomowanego oprogramowania do ochrony punktów końcowych z funkcją wykrywania zagrożeń w czasie rzeczywistym.
• Utrzymuj wiele kopii zapasowych, w tym co najmniej jedną kopię offline lub inną odizolowaną kopię.
• Unikaj otwierania niechcianych załączników e-mail i klikania podejrzanych linków.
• Pobieraj oprogramowanie wyłącznie z oficjalnych i zaufanych źródeł.
• Nie korzystaj z pirackiego oprogramowania, cracków ani nieautoryzowanych narzędzi aktywacyjnych.
• W miarę możliwości należy ograniczać uprawnienia administracyjne.
• Uświadom użytkownikom, jakie są metody phishingu i ataki socjotechniczne.

Ocena końcowa

Friends Ransomware stanowi poważne zagrożenie dla cyberbezpieczeństwa, łącząc szyfrowanie plików z kradzieżą danych i wymuszeniami. Dodając rozszerzenie „.friends124” do plików, umieszczając żądanie okupu zatytułowane „RANSOM_NOTE.html” i grożąc ujawnieniem skradzionych informacji, jego twórcy próbują zmaksymalizować presję na ofiary. Chociaż bez niezawodnych kopii zapasowych możliwości odzyskiwania danych są często ograniczone, skuteczne praktyki w zakresie cyberbezpieczeństwa, regularne tworzenie kopii zapasowych, terminowe aktualizacje oprogramowania i ostrożne zachowanie w sieci mogą znacznie zmniejszyć prawdopodobieństwo skutecznego ataku ransomware i zminimalizować skutki ewentualnej infekcji.