Traders Ransomware

Программы-вымогатели остаются одной из самых быстро распространяющихся и разрушительных угроз, с которыми сталкиваются частные лица и организации. Одно успешное проникновение может привести к шифрованию многолетней работы, раскрытию конфиденциальных данных и вызвать дорогостоящие простои. Осведомленность об активных штаммах и применение многоуровневой защиты значительно снижают как вероятность, так и последствия атаки.

Профиль угроз — кто такие «трейдеры»?

Traders — это вирус-вымогатель, шифрующий файлы, обнаруженный аналитиками безопасности во время поиска угроз и расследований вредоносных программ. Попав в систему, он шифрует пользовательские данные и изменяет имена файлов, чтобы отметить файлы-заложники. Затем операторы требуют оплату в обмен на ключ дешифрования, одновременно оказывая давление посредством угроз утечки данных.

Отдельные маркеры файлов — как переименовываются ваши данные

После шифрования Traders добавляет к каждому затронутому файлу идентификатор жертвы и расширение «.traders». Шаблон включает идентификатор жертвы в скобках, что позволяет легко обнаружить взлом в разных папках. Например:

• 1.png становится 1.png.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.traders
• 2.pdf становится 2.pdf.{C4FD8BC0-B92C-3E50-0D54-A8AAE232AC39}.traders

Записка о выкупе — требования и претензии злоумышленников

Трейдеры оставляют записку под названием «README.TXT». В ней говорится, что документы, фотографии, базы данных и другие ценные файлы были зашифрованы, и утверждается, что для восстановления требуется уникальный закрытый ключ, имеющийся у злоумышленников. В записке обычно предостерегают от попыток самостоятельного расшифровывания, предупреждая, что неподходящие инструменты могут необратимо повредить данные. В ней указаны контактные данные, адрес электронной почты («traders@mailum.com») и идентификатор сеанса обмена сообщениями, через который жертвам предписывается вести переговоры.

Двойное вымогательство — кража данных как рычаг воздействия

Помимо шифрования, в записке содержится угроза продажи или публикации украденных данных в случае неуплаты. Эта тактика «двойного вымогательства» направлена на то, чтобы принудить жертв, полагающихся на резервные копии, к действиям, добавляя репутационные, юридические и конфиденциальные риски.

Реальность восстановления — что на самом деле помогает

Файлы, заблокированные современными программами-вымогателями, обычно невозможно восстановить без дешифратора злоумышленников. Практические способы восстановления ограничены чистыми автономными резервными копиями, которые были недоступны во время инцидента. Платить выкуп настоятельно не рекомендуется: нет никакой гарантии, что вы получите работающие инструменты дешифрования, а оплата стимулирует дальнейшую преступную деятельность.

Сдерживание и ликвидация — немедленные действия

При обнаружении Traders немедленно изолируйте затронутые машины от сети, чтобы остановить дальнейшее шифрование и горизонтальное распространение. Сохраните криминалистические артефакты, включая записку с требованием выкупа, образцы зашифрованных файлов и соответствующие журналы. Используйте надежное антивирусное/EDR-решение для удаления вредоносной нагрузки и любых механизмов сохранения. После устранения вредоносной программы восстановите или создайте новый образ скомпрометированных систем, проведите ротацию учетных данных и аудит ключей доступа и токенов. Только после этого можно начинать восстановление данных из проверенных резервных копий, тщательно отслеживая повторное заражение.

Первоначальный доступ и доставка — как трейдеры добираются до систем

Как и многие семейства программ-вымогателей, Traders распространяется по нескольким каналам. Распространенными точками проникновения являются вредоносные вложения или ссылки в электронных письмах, троянизированное или пиратское ПО (включая кейгены и кряки), поддельные ссылки на техподдержку и эксплуатация неисправленных уязвимостей. Злоумышленники также используют вредоносную рекламу, скомпрометированные или похожие веб-сайты, зараженные съемные носители, P2P-сети, сторонние порталы загрузки и файлы-ловушки, такие как исполняемые установщики, документы Office или PDF со встроенными макросами или скриптами, а также сжатые архивы (ZIP/RAR), которые распаковывают дропперы.

Укрепите свою защиту — основные методы обеспечения безопасности

• Сохраняйте резервные копии в автономном режиме.
• Устанавливайте обновления оперативно. Отдавайте приоритет интернет-сервисам и по возможности включайте автоматические обновления.
• Используйте надежное программное обеспечение безопасности с защитой в режиме реального времени, блокировкой поведения и контролируемым доступом к папкам.
• Защитите RDP и удалённый доступ. Отключите при необходимости, ограничьте с помощью разрешённого списка/VPN, требуйте многофакторную аутентификацию (MFA) и отслеживайте попытки подбора пароля или аномальные входы в систему.
• Отключите опасные макросы и скрипты. Заблокируйте макросы Office из интернета, ограничьте PowerShell ограниченным языковым режимом для пользователей, не являющихся администраторами, и проводите аудит выполнения скриптов.
• Безопасные браузеры и загрузки. Используйте только проверенные сервисы, блокируйте известные вредоносные домены и избегайте сторонних загрузчиков и P2P-источников.

Заключительные мысли

Программа-вымогатель Traders сочетает в себе надежное шифрование и вымогательство, что делает подготовку лучшей защитой. Регулярно устанавливайте обновления систем, обеспечьте доступ с минимальными привилегиями, разверните эффективную защиту конечных точек, сегментируйте сети и, что самое важное, поддерживайте проверенные автономные резервные копии. Если вы уже пострадали, сосредоточьтесь на локализации и профессиональном устранении последствий, а не на выплатах.