Traders Ransomware

Ransomware pozostaje jednym z najszybciej rozprzestrzeniających się i najbardziej destrukcyjnych zagrożeń, z jakimi mierzą się osoby prywatne i organizacje. Pojedyncze udane włamanie może zaszyfrować lata pracy, ujawnić prywatne dane i spowodować kosztowne przestoje. Bycie na bieżąco z aktywnymi zagrożeniami i stosowanie wielowarstwowych zabezpieczeń znacząco zmniejsza zarówno prawdopodobieństwo, jak i skutki ataku.

Profil zagrożenia — kim są „traderzy”?

Traders to ransomware szyfrujący pliki, obserwowany przez analityków bezpieczeństwa podczas wykrywania zagrożeń i dochodzeń w sprawie złośliwego oprogramowania. Po wniknięciu do systemu, szyfruje dane użytkownika i zmienia nazwy plików, aby oznaczyć pliki będące zakładnikami. Operatorzy żądają następnie zapłaty za klucz deszyfrujący, jednocześnie stosując presję poprzez groźby wycieku danych.

Wyraźne znaczniki plików — jak zmieniane są nazwy Twoich danych

Po zaszyfrowaniu Traders dodaje identyfikator ofiary i rozszerzenie „.traders” do każdego zainfekowanego pliku. Wzór zawiera identyfikator ofiary w nawiasach klamrowych, co ułatwia identyfikację ataku w różnych folderach. Na przykład:

• 1.png staje się 1.png.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.traders
• Plik 2.pdf staje się plikiem 2.pdf.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.traders

Żądanie okupu — żądania i roszczenia napastników

Traders zostawia notatkę o nazwie „README.TXT”. W wiadomości stwierdzono, że dokumenty, zdjęcia, bazy danych i inne cenne pliki zostały zaszyfrowane, a ich odzyskanie wymaga unikalnego klucza prywatnego posiadanego przez atakujących. Notatka zazwyczaj zniechęca do samodzielnych prób odszyfrowania, ostrzegając, że użycie niewłaściwych narzędzi może nieodwracalnie uszkodzić dane. Zawiera ona dane kontaktowe, adres e-mail („traders@mailum.com”) oraz identyfikator komunikatora sesji, za pośrednictwem którego ofiary otrzymują instrukcje dotyczące negocjacji.

Podwójne wymuszenie — kradzież danych jako dźwignia

Oprócz szyfrowania, w notatce znajduje się groźba sprzedaży lub publikacji wykradzionych danych w przypadku braku płatności. Ta taktyka „podwójnego wymuszenia” ma na celu wymuszenie na ofiarach, które polegają na kopiach zapasowych, poprzez dodanie do tego ryzyka utraty reputacji, naruszenia prawa i prywatności.

Rzeczywistość powrotu do zdrowia – co naprawdę pomaga

Pliki zablokowane przez współczesne oprogramowanie ransomware zazwyczaj nie dają się odzyskać bez deszyfratora opracowanego przez atakujących. Praktyczne możliwości odzyskania danych ograniczają się do czystych, offline'owych kopii zapasowych, do których nie można było uzyskać dostępu podczas ataku. Zdecydowanie odradza się płacenie okupu: nie ma gwarancji otrzymania działających narzędzi deszyfrujących, a płatność napędza dalszą działalność przestępczą.

Ograniczanie i eliminacja — działania natychmiastowe

W przypadku wykrycia Traderów, należy natychmiast odizolować zainfekowane maszyny od sieci, aby powstrzymać dalsze szyfrowanie i rozprzestrzenianie się. Zachowaj artefakty kryminalistyczne, w tym żądanie okupu, próbki zaszyfrowanych plików i odpowiednie logi. Użyj sprawdzonego rozwiązania antywirusowego/EDR, aby usunąć ładunek i wszelkie mechanizmy trwałości. Po usunięciu, odbuduj lub zrekonstruuj zainfekowane systemy, zmień dane uwierzytelniające i przeprowadź audyt kluczy dostępu i tokenów. Dopiero wtedy należy rozpocząć przywracanie danych ze zweryfikowanych kopii zapasowych, uważnie monitorując ryzyko ponownej infekcji.

Początkowy dostęp i dostawa — jak inwestorzy docierają do systemów

Podobnie jak wiele rodzin ransomware, Traders jest rozprzestrzeniany wieloma kanałami. Typowe punkty wejścia to złośliwe załączniki lub linki do wiadomości e-mail, trojanizowane lub pirackie oprogramowanie (w tym keygeny i cracki), fałszywe wabiki na pomoc techniczną oraz wykorzystywanie niezałatanych luk w zabezpieczeniach. Aktorzy wykorzystujący złośliwe reklamy wykorzystują również złośliwe reklamy, zainfekowane lub imitujące je strony internetowe, zainfekowane nośniki wymienne, sieci P2P, zewnętrzne portale pobierania oraz pułapki w postaci plików, takich jak instalatory wykonywalne, dokumenty Office lub PDF z osadzonymi makrami lub skryptami oraz skompresowane archiwa (ZIP/RAR), które rozpakowują droppery.

Wzmocnij swoją obronę — podstawowe praktyki bezpieczeństwa

• Utrzymuj kopie zapasowe offline.
• Szybko aktualizuj. Priorytetem są usługi internetowe i automatyczne aktualizacje, jeśli to możliwe.
• Wdróż sprawdzone oprogramowanie zabezpieczające z ochroną w czasie rzeczywistym, blokowaniem zachowań i kontrolowanym dostępem do folderów.
• Wzmocnij RDP i zdalny dostęp. Wyłącz, jeśli nie jest to konieczne, ogranicz za pomocą listy dozwolonych/VPN, wymagaj uwierzytelniania wieloskładnikowego (MFA) i monitoruj pod kątem prób siłowych lub nietypowych logowań.
• Wyłącz ryzykowne makra i skrypty. Zablokuj dostęp makr pakietu Office do internetu, ogranicz dostęp programu PowerShell do trybu ograniczonego języka dla użytkowników niebędących administratorami i włącz audyt wykonywania skryptów.
• Bezpieczne przeglądarki i pobieranie. Korzystaj tylko z renomowanych usług, blokuj znane złośliwe domeny i unikaj zewnętrznych programów do pobierania oraz źródeł P2P.

Ostatnie myśli

Ransomware Traders łączy silne szyfrowanie z presją wymuszenia, dzięki czemu przygotowanie się jest najlepszą obroną. Dbaj o poprawność systemów, wymuszaj dostęp z minimalnymi uprawnieniami, wdrażaj skuteczną ochronę punktów końcowych, segmentuj sieci i, co najważniejsze, utrzymuj przetestowane kopie zapasowe offline. Jeśli Twój komputer został już zainfekowany, skup się na powstrzymywaniu ataku i profesjonalnej naprawie, a nie na płaceniu.