Программа-вымогатель «Друзья»

Защита устройств от вредоносных программ важна как никогда, поскольку современные киберугрозы могут шифровать ценные данные, нарушать работу предприятий и раскрывать конфиденциальную информацию. Программы-вымогатели, в частности, остаются одним из наиболее опасных видов вредоносного ПО, поскольку они сочетают шифрование данных с тактикой вымогательства, направленной на то, чтобы заставить жертв заплатить крупные суммы денег. Одним из ярких примеров является Friends Ransomware — сложная угроза, которая нацелена на широкий спектр типов файлов, а также использует кражу данных для повышения вероятности получения платежа.

Программа-вымогатель Friends: киберугроза с двойным вымогательством

Программа-вымогатель Friends Ransomware — это вредоносное ПО, обнаруженное исследователями кибербезопасности, которое шифрует файлы на скомпрометированных системах и требует выкуп в обмен на ключ расшифровки. Помимо шифрования файлов, операторы этой угрозы заявляют о краже конфиденциальной информации у жертв, прежде чем заблокировать их данные. Эта тактика, широко известная как двойное вымогательство, позволяет злоумышленникам угрожать как потерей данных, так и публичным разглашением конфиденциальной информации.

После запуска в системе программа-вымогатель Friends сканирует множество типов файлов и шифрует их. В процессе шифрования она добавляет к затронутым файлам расширение '.friends124'. Например, файл с именем '1.png' преобразуется в '1.png.friends124', а '2.pdf' — в '2.pdf.friends124'. Это расширение служит явным индикатором того, что файлы были обработаны вредоносной программой и больше недоступны обычным способом.

Процесс шифрования и требования выкупа

После завершения процедуры шифрования программа-вымогатель создает файл с именем «RANSOM_NOTE.html», содержащий инструкции для жертвы. В записке сообщается, что файлы жертвы зашифрованы, и предоставляется контактная информация для начала переговоров о выкупе. Жертвам предлагается связаться с злоумышленниками по адресам электронной почты «recovery1@salamati.vip» и «recovery1@amniyat.xyz». Также упоминается альтернативный способ связи через сеть Tor.

В записке с требованием выкупа утверждается, что конфиденциальные и личные данные были собраны и сохранены на частном сервере, контролируемом злоумышленниками. Согласно сообщению, эта информация будет опубликована или продана третьим лицам, если жертва откажется выполнить требования о выкупе. Чтобы убедить жертв в возможности восстановления файлов, преступники предлагают бесплатно расшифровать два или три несущественных файла. В записке также предупреждается, что сумма выкупа увеличится, если связь не будет установлена в течение 72 часов, и рекомендуется жертвам создать учетную запись ProtonMail перед тем, как связываться с ними.

Почему выплата выкупа — рискованное решение.

Жертвы часто задумываются о выплате выкупа, когда критически важные файлы становятся недоступными. Однако выплата выкупа киберпреступникам не гарантирует успешного восстановления. Многие вымогательские организации получали платежи, не предоставляя работающих инструментов расшифровки, или же предоставляли утилиты, которые не смогли восстановить все затронутые данные.

Даже если злоумышленники предоставляют инструмент для расшифровки, выкуп способствует преступной деятельности и стимулирует будущие атаки на других лиц и организации. По этим причинам специалисты по кибербезопасности настоятельно не рекомендуют платить выкуп. В большинстве случаев зашифрованные файлы невозможно восстановить без ключа расшифровки, предоставленного злоумышленниками, если только программа-вымогатель не содержит существенных недостатков в реализации, которые исследователи могут использовать для разработки бесплатного дешифратора.

Восстановление и реагирование на инциденты

Первоочередная задача после заражения — удаление программы-вымогателя Friends Ransomware из зараженной системы. Удаление вредоносного ПО помогает предотвратить шифрование дополнительных файлов и снижает риск дальнейшей вредоносной активности. Однако удаление вредоносного ПО само по себе не восстанавливает уже зашифрованные данные.

Наиболее надежный метод восстановления предполагает восстановление файлов из резервных копий, созданных до заражения. Резервные копии следует хранить отдельно от основной системы, чтобы они оставались нетронутыми во время атаки. Если резервные копии подключены к той же сети или постоянно доступны, программа-вымогатель может попытаться зашифровать и их, лишив жертв возможности восстановления.

Как распространяется вирус-вымогатель Friends

Как и многие другие семейства программ-вымогателей, Friends Ransomware использует множество каналов распространения для доставки вредоносного ПО потенциальным жертвам. Фишинговые электронные письма остаются одним из наиболее эффективных способов доставки. Эти сообщения часто содержат вредоносные вложения или ссылки, которые при открытии инициируют загрузку вредоносного ПО. Злоумышленники обычно используют файлы документов, содержащие вредоносные макросы, сжатые архивы, исполняемые файлы, PDF-файлы и полезные нагрузки на основе JavaScript.

К дополнительным векторам заражения относятся трояны, которые незаметно устанавливают программы-вымогатели, поддельные механизмы обновления программного обеспечения, вредоносная реклама, скомпрометированные веб-сайты и загрузки из ненадежных источников. Порталы с бесплатным программным обеспечением, пиринговые сети обмена файлами и другие неофициальные платформы распространения часто размещают вредоносные файлы, замаскированные под легитимное программное обеспечение. Зараженные USB-накопители также могут способствовать распространению программ-вымогателей между системами.

Один из наиболее распространенных сценариев заражения связан с программными взломами и пиратскими инструментами активации. Киберпреступники часто маскируют вредоносное ПО под бесплатные альтернативы платному программному обеспечению, используя в своих целях пользователей, готовых обойти официальные каналы распространения. После запуска эти, казалось бы, безобидные программы могут без предупреждения установить программы-вымогатели.

Усиление защиты от программ-вымогателей

Эффективная защита от программ-вымогателей требует многоуровневой стратегии безопасности, сочетающей технические средства защиты с безопасным поведением пользователей. Организациям и частным лицам следует использовать надежное программное обеспечение для обеспечения безопасности, регулярно обновлять операционные системы и приложения, а также отключать ненужные функции, которые могут быть использованы злоумышленниками в своих целях. К вложениям и ссылкам в электронных письмах из неизвестных или неожиданных источников всегда следует относиться с осторожностью, даже если они кажутся легитимными.

Регулярное резервное копирование данных является одной из важнейших мер защиты. Хранение нескольких резервных копий в разных местах, например, на внешних накопителях и в защищенных удаленных хранилищах, значительно повышает шансы на восстановление после атаки. Также следует периодически проводить тестирование резервных копий, чтобы убедиться в возможности успешного восстановления данных при необходимости.

К основным мерам обеспечения безопасности относятся:

• Регулярно обновляйте операционные системы, браузеры и приложения, устанавливая последние исправления безопасности.
• Используйте надежное программное обеспечение для защиты конечных точек с возможностями обнаружения угроз в режиме реального времени.
• Создавайте несколько резервных копий, включая как минимум одну автономную или иную изолированную копию.
• Избегайте открытия вложений в нежелательных электронных письмах и перехода по подозрительным ссылкам.
• Загружайте программное обеспечение только из официальных и проверенных источников.
• Воздержитесь от использования пиратского программного обеспечения, взломанных версий или несанкционированных инструментов активации.
• По возможности ограничивайте административные привилегии.
• Обучите пользователей тактике фишинга и методам социальной инженерии.

Итоговая оценка

Программа-вымогатель Friends представляет собой серьезную угрозу кибербезопасности, сочетающую шифрование файлов с кражей данных и вымогательством. Добавляя к файлам расширение '.friends124', размещая записку с требованием выкупа под названием 'RANSOM_NOTE.html' и угрожая раскрыть украденную информацию, её операторы пытаются оказать максимальное давление на жертв. Хотя возможности восстановления часто ограничены без надежных резервных копий, строгие меры кибербезопасности, регулярное резервное копирование, своевременные обновления программного обеспечения и осторожное поведение в интернете могут значительно снизить вероятность успешной атаки программы-вымогателя и минимизировать последствия в случае заражения.