Theft Ransomware

Mediul modern de amenințări este neiertător. Infractorii cibernetici își perfecționează constant instrumentele pentru a exploata utilizatorii nepregătiți. Printre cele mai dăunătoare dintre aceste amenințări se numără ransomware-ul, un software rău intenționat care criptează datele și extorcează victimele pentru bani. O astfel de variantă emergentă este cunoscută sub numele de Theft Ransomware, despre care s-a observat deja că provoacă ravagii în sisteme neașteptate.

Ce face ca ransomware-ul pentru furt să fie periculos

Ransomware-ul Theft este o nouă variantă legată de cunoscuta familie de ransomware Dharma, un grup cunoscut pentru că vizează atât indivizi, cât și organizații. La infiltrarea pe un dispozitiv, malware-ul criptează fișierele și le redenumește adăugând:

• Un ID unic al victimei
• Adresa de e-mail a atacatorilor
• Extensia „.theft”

De exemplu, „1.png” devine „1.png.id-9ECFA84E.[datatheft@tuta.io].theft”.

Victimele se confruntă apoi cu note de răscumpărare sub formă de fișiere text („info.txt”) și o fereastră pop-up. Deși nota text este concisă, oferind doar datele de contact, fereastra pop-up oferă mai multe detalii, inclusiv asigurarea că recuperarea datelor este posibilă dacă se plătește răscumpărarea. Atacatorii oferă chiar și „dovada decriptării”, permițând restaurarea gratuită a trei fișiere mici, necritice.

Adăugând și mai multă presiune, infractorii susțin că au furat date sensibile ale afacerii și amenință că le vor divulga dacă plata este refuzată.

Caracteristicile tehnice ale amenințării

La fel ca alte variante bazate pe Dharma, Theft Ransomware nu blochează sisteme întregi, ci criptează fișierele locale și cele partajate în rețea. Malware-ul acționează în mod activ:

• Termină procesele legate de fișierele utilizate (baze de date, cititoare etc.)
• Se copiază în calea %LOCALAPPDATA% și înregistrează persistența prin cheile Run
• Se setează să pornească automat la repornirea sistemului
• Șterge copiile din umbră ale volumului pentru a preveni recuperarea ușoară

Malware-ul colectează, de asemenea, date de geolocalizare pentru a determina dacă să continue cu criptarea, eventual excluzând anumite regiuni.

Cum se răspândește infecția

Ransomware-ul furtului folosește multiple tactici de infiltrare, cele mai frecvente fiind serviciile RDP (Remote Desktop Protocol) slab securizate. Atacurile de tip brute force și dicționar împotriva conturilor slab protejate sunt un punct de intrare frecvent. Odată intrat, malware-ul poate chiar dezactiva firewall-urile pentru a-și facilita funcționarea.

Alte canale de distribuție bine-cunoscute includ:

Phishing și inginerie socială – Atașamente sau linkuri rău intenționate în e-mailuri, mesaje directe și postări.

Troieni și backdoor-uri – Folosite pentru a instala ransomware-ul în mod silențios.

Publicitate malicioasă și descărcări automate – declanșate prin simpla accesare a unui site web compromis.

Surse de software suspecte – Instrumente piratate, pachete freeware și actualizări false.

Medii amovibile și rețele locale – Permit malware-ului să se răspândească intern odată ce ajunge pe un sistem.

De ce plata răscumpărării este un pariu riscant

Decriptarea fișierelor criptate prin furt fără cheia atacatorilor este aproape imposibilă. Deși unele variante de ransomware sunt defecte, amenințările bazate pe Dharma sunt de obicei construite solid. Este important de menționat că plata răscumpărării nu oferă nicio garanție de recuperare, multe victime rămânând fără bani chiar și după transferul de fonduri. Mai rău, plata finanțează doar alte operațiuni criminale.

Consolidarea apărării împotriva ransomware-ului

Cea mai bună metodă de combatere a ransomware-ului împotriva furtului este prevenirea. Deoarece eliminarea malware-ului nu va restaura automat fișierele criptate, utilizatorii trebuie să se concentreze pe rezistență și apărare proactivă. Practicile cheie pe care fiecare utilizator ar trebui să le adopte sunt:

• Copii de rezervă regulate – Păstrați copii ale fișierelor importante în mai multe locații securizate, cum ar fi unități offline și servicii cloud care nu sunt mapate la sistemul infectat.
• Actualizarea software-ului și a sistemelor – Aplicați patch-uri pentru a închide vulnerabilitățile exploatate de ransomware.
• Folosește autentificare puternică – Securizează serviciile RDP cu parole unice și complexe și activează autentificarea multifactor.
• Fiți precauți cu e-mailurile și linkurile – Nu deschideți atașamente neașteptate și nu faceți clic pe linkuri necunoscute, chiar dacă par legitime.
• Restricționarea drepturilor administrative – Limitarea privilegiilor pentru a reduce impactul executării potențiale de programe malware.
• Instalați instrumente de securitate reputate – Folosiți soluții anti-malware cu funcții de protecție împotriva ransomware.

• Dezactivați macrocomenzile și scripturile – Multe atacuri ransomware sunt declanșate prin intermediul documentelor sau scripturilor Office.

• Segmentați rețelele – Preveniți răspândirea laterală a programelor malware în mediile de afaceri.

Gânduri finale

Ransomware-ul pentru furt evidențiază evoluția continuă a familiei Dharma și rolul său durabil în campaniile globale de ransomware. Combinația sa de criptare, furt de date și extorcare o face deosebit de dăunătoare. Deoarece recuperarea fișierelor este adesea imposibilă fără copii de rezervă curate, singura apărare adevărată este prevenirea stratificată, igiena cibernetică puternică și strategiile de recuperare fiabile.