Oprogramowanie ransomware Prey

Ochrona urządzeń osobistych i firmowych przed złośliwym oprogramowaniem nie jest już opcjonalna, lecz niezbędna. Cyberprzestępcy stale opracowują coraz bardziej zaawansowane narzędzia do ataków na dane, a ransomware pozostaje jednym z najbardziej destrukcyjnych zagrożeń. Jednym z najnowszych przykładów tego typu złośliwego oprogramowania jest Prey Ransomware, złośliwy program zidentyfikowany jako wariant niesławnej rodziny MedusaLocker. Zagrożenie to zostało zaprojektowane specjalnie w celu szyfrowania plików, wymuszania okupu od ofiar i potencjalnego wycieku skradzionych danych, jeśli żądania nie zostaną spełnione.

Nieustanny atak na dane

Po uruchomieniu na docelowym systemie, Prey Ransomware rozpoczyna szyfrowanie plików za pomocą kombinacji algorytmów kryptograficznych RSA i AES, których złamanie bez kluczy deszyfrujących atakujących jest praktycznie niemożliwe. Szkodliwe oprogramowanie dodaje rozszerzenie „.prey35” do każdego zaszyfrowanego pliku, przekształcając nazwy takie jak „photo.png” na „photo.png.prey35”.

Po zakończeniu szyfrowania ransomware zmienia tapetę pulpitu i pozostawia notatkę z żądaniem okupu zatytułowaną „HOW_TO_RECOVER_DATA.html”. Wiadomość informuje ofiarę, że sieć jej firmy została naruszona, pliki zaszyfrowane, a poufne informacje wykradzione. Ofiary otrzymują polecenie skontaktowania się z atakującymi w ciągu 72 godzin, w przeciwnym razie grożą im zwiększone żądania okupu i publiczne ujawnienie skradzionych danych.

Zwodnicza obietnica odszyfrowania

W liście okupu twierdzi się, że ofiary mogą przetestować odszyfrowanie maksymalnie trzech nieistotnych plików przed dokonaniem płatności. Takie zapewnienia mają jednak na celu zbudowanie fałszywego zaufania. Eksperci ds. cyberbezpieczeństwa podkreślają, że zapłacenie okupu nie gwarantuje odzyskania plików – w wielu przypadkach atakujący nigdy nie dostarczają obiecanego klucza ani narzędzia deszyfrującego. Co więcej, płacenie okupu jedynie napędza dalsze działania przestępcze i zachęca do nowych ataków.

Odszyfrowanie bez udziału atakującego jest zazwyczaj niemożliwe, chyba że ransomware jest słabo zakodowany lub został już odszyfrowany przez badaczy. W przypadku większości ofiar odzyskanie danych zależy wyłącznie od dostępności bezpiecznych, istniejących kopii zapasowych.

Metody dystrybucji i wektory infekcji

Jak większość ransomware, Prey rozprzestrzenia się poprzez phishing, socjotechnikę i złośliwe pobieranie plików. Infekcja często rozpoczyna się, gdy niczego niepodejrzewający użytkownicy otwierają fałszywe załączniki lub linki. Pliki mogą występować w wielu formatach, w tym ZIP, RAR, PDF, EXE lub w dokumentach Microsoft Office zawierających złośliwe makra. Samo otwarcie tych plików może zainicjować łańcuch infekcji.

Zagrożenie może się również rozprzestrzeniać poprzez:

• Trojany i programy ładujące, które instalują w tle oprogramowanie ransomware.
• Pobieranie plików bez wiedzy użytkownika lub kampanie reklamowe wykorzystujące złośliwe oprogramowanie.
• Wiadomości spam zawierające zainfekowane załączniki lub linki.

• Fałszywe aktualizacje oprogramowania lub pirackie aktywatory oprogramowania („cracki”).

• Sieci peer-to-peer (P2P) i mało wiarygodne witryny z darmowym oprogramowaniem.

• Propagacja w sieci, w wyniku której ransomware przemieszcza się poziomo pomiędzy podłączonymi systemami lub zewnętrznymi urządzeniami pamięci masowej.

Usuwanie zagrożenia i odzyskiwanie plików

Jeśli Prey Ransomware zainfekuje system, konieczne jest natychmiastowe działanie. Złośliwe oprogramowanie musi zostać całkowicie usunięte, aby zapobiec dalszemu szyfrowaniu. Chociaż usunięcie oprogramowania zapobiega dalszym szkodom, nie odszyfrowuje ono zainfekowanych plików. Najbezpieczniejszą metodą odzyskiwania danych jest przywrócenie danych z czystych, offline'owych kopii zapasowych utworzonych przed wystąpieniem infekcji.

Ofiary powinny unikać kontaktu z żądaniem okupu i zamiast tego zwrócić się o pomoc do renomowanych specjalistów ds. cyberbezpieczeństwa lub zespołów reagowania na incydenty. Ważne jest również zgłoszenie incydentu lokalnym organom ścigania.

Budowanie silnej obrony: podstawowe praktyki bezpieczeństwa

Zapobieganie infekcjom ransomware, takim jak Prey, wymaga połączenia świadomości, odpowiedniej higieny cyfrowej i zabezpieczeń technicznych. Użytkownicy mogą znacznie zmniejszyć ryzyko, wdrażając następujące środki bezpieczeństwa:

1. Kroki ochrony proaktywnej

• Utrzymuj aktualne systemy operacyjne, oprogramowanie i narzędzia antywirusowe.
• W miarę możliwości włączaj uwierzytelnianie wieloskładnikowe (MFA).
• Użyj niezawodnego pakietu zabezpieczeń z monitorowaniem zagrożeń w czasie rzeczywistym.
• Wyłącz makra w pakiecie Microsoft Office i zablokuj automatyczne pobieranie.
• Unikaj otwierania nieoczekiwanych załączników i klikania linków pochodzących od nieznanych nadawców.

2. Praktyki tworzenia kopii zapasowych i zarządzania danymi

• Przechowuj wiele kopii zapasowych danych, jedną na zdalnym serwerze (w chmurze), a drugą na odłączonym urządzeniu fizycznym (zewnętrznym dysku twardym, USB).
• Regularnie sprawdzaj integralność kopii zapasowej, aby mieć pewność, że pliki będzie można odzyskać.

• Odizoluj systemy zapasowe od sieci głównej, aby zapobiec krzyżowemu zakażeniu.

Wniosek: Czujność jest najlepszą obroną

Rozwój ransomware Prey podkreśla ciągłą ewolucję cyberzagrożeń i potrzebę zachowania ciągłej czujności. Zapłacenie okupu jedynie pogłębia problem, podczas gdy zapobieganie i gotowość pozostają najskuteczniejszą obroną. Stosując silne nawyki w zakresie cyberbezpieczeństwa, regularnie tworząc kopie zapasowe i unikając ryzykownych zachowań online, użytkownicy mogą znacznie zmniejszyć ryzyko stania się ofiarą ransomware, takiego jak Prey.