Izsiljevalska programska oprema Hype

Izsiljevalska programska oprema Hype je tipičen primer sodobne zlonamerne programske opreme za šifriranje datotek: premeša podatke žrtev, pusti sporočilo z zahtevo za odkupnino in šifriranim datotekam doda posebno končnico in identifikatorje. Zaščita naprav pred grožnjami, kot je Hype, je ključnega pomena, saj po končanem šifriranju datotek običajno ni mogoče obnoviti brez zasebnega ključa napadalca, napadalci, ki plačajo, pa ne zagotavljajo nobenega zagotovila za obnovitev, hkrati pa spodbujajo nadaljnja kazniva dejanja.

Kaj počne Hype – povzetek vedenja

Analiza kaže, da Hype cilja uporabniške datoteke in jih preimenuje tako, da vključujejo kontaktne podatke napadalcev in edinstven ID žrtve, nato pa doda novo končnico. V analiziranih vzorcih so datoteke preimenovane v vzorec, podoben temu:
'izvirnoime.EXT' → 'izvirnoime.EXT.EMAIL=[ranshype@gmail.com
]ID=[000C91DC347DF549].hype'

Poslano je sporočilo z zahtevo za odkupnino z imenom »hype Ransmoware.txt«; trdi, da je sistem »nezaščiten«, ponuja »popravek« situacije in žrtvam naroči, naj pošljejo testno datoteko za dokazilo o dešifriranju. V sporočilu sta navedena dva e-poštna naslova »ranshype@gmail.com«.
in »ranshype@tuta.io« ter uporabniško ime v Telegramu (@hype20233) kot kontaktno sredstvo.

Kako deluje napad – tehnični pregled

Hype sledi običajnemu življenjskemu ciklu izsiljevalske programske opreme. Po začetnem izvajanju (pogosto prek zlonamerne priloge, programa za prenos, izkoriščanja ali razpokane programske opreme) pregleda dosegljivo shrambo za ciljne vrste datotek, jih šifrira s simetričnim ključem, nato pa ta ključ običajno šifrira ali zaščiti z drugim mehanizmom, ki ga ima napadalec. Šifrirane datoteke se preimenujejo, da se označi lastništvo in da se žrtve usmerijo k sporočilu z odkupnino. Ker dešifriranje zahteva ključ napadalca ali predhodno pripravljeno varnostno kopijo, imajo žrtve brez zanesljivih varnostnih kopij le malo možnosti za obnovitev.

Vpliv in okrevanje

Izsiljevalska programska oprema, kot je Hype, povzroča izgubo podatkov, motnje v delovanju in morebitne poslovne izgube ali izpostavljenost regulativnim organom. Obnovitev brez varnostnih kopij je malo verjetna: večine šifriranih datotek ni mogoče obnoviti brez napadalčevega orodja za dešifriranje. Žrtvam se močno odsvetuje domnevanje, da plačilo zagotavlja vračilo datotek – napadalci morda ne bodo zagotovili delujočega dešifriranja, zahtevali bodo nadaljnje plačilo ali ponovno uporabili ukradene podatke. Pravilna pot obnovitve običajno vključuje: izolacijo okuženih sistemov, brisanje in obnovitev iz znanih dobrih varnostnih kopij ter utrjevanje infrastrukture za preprečevanje ponovne okužbe.

Najboljše varnostne prakse za zmanjšanje tveganja

Redne varnostne kopije in preizkušene obnovitve : hranite vsaj dve kopiji kritičnih podatkov, eno lokalno za hitro obnovitev in eno na daljavo ali v storitvi v oblaku, ter zagotovite, da so varnostne kopije izolirane, da jih izsiljevalska programska oprema ne more doseči. Pogosto izvajajte preizkušene obnovitve.

Upravljanje popravkov in zalog : vzdržujte posodobljen inventar programske opreme in sredstev ter pravočasno nameščajte varnostne popravke na operacijske sisteme, aplikacije in omrežne naprave.

Načelo najmanjših privilegijev in segmentacija omrežja : omejite uporabniška dovoljenja, tako da imajo dostop le tisti, ki ga potrebujejo; segmentirajte omrežja, tako da okužena končna točka ne more prosto dostopati do varnostnih kopij, strežnikov ali drugih segmentov.

Zaznavanje in odzivanje na končne točke (EDR) + zaščita pred zlonamerno programsko opremo : uvedite sodoben EDR/protivirusni program z vedenjskim zaznavanjem, ki lahko blokira ali opozori na sumljive dejavnosti šifriranja; prilagodite opozorila za zmanjšanje šuma in zagotovite pravočasen človeški pregled.

Varnost e-pošte in spleta : uporabite napredno filtriranje e-pošte, blokirajte sumljive priloge in dokumente z omogočenimi makromi ter uvedite spletno filtriranje, da preprečite uporabnikom dostop do znanih zlonamernih spletnih mest.

Večfaktorska avtentikacija (MFA) : zahteva MFA za oddaljeni dostop, skrbniške račune in storitve v oblaku, da se zmanjša tveganje prevzema računa.

Izogibanje plačilu in napredovanje

Plačilo odkupnine je zelo tvegana in pogosto neučinkovita možnost; ne zagotavlja vrnitve datoteke in služi za zagotavljanje dodatnih sredstev za kriminalne operacije. Namesto tega osredotočite vire na zadrževanje, obnovitev iz varnih varnostnih kopij in izboljšanje varnostne ureditve, da podoben napad ne bo mogel biti ponovljen. Če nimate notranjih zmogljivosti, najemite ugledna podjetja za odzivanje na incidente in forenzična podjetja, ki vam bodo pomagala. Hitro in strokovno ukrepanje zmanjša škodo in izboljša možnosti za popolno okrevanje.