Theft Ransomware

Sodobno okolje groženj je neusmiljeno. Kibernetski kriminalci nenehno izpopolnjujejo svoja orodja, da bi izkoristili nepripravljene uporabnike. Med najbolj škodljivimi od teh groženj je izsiljevalska programska oprema, zlonamerna programska oprema, ki šifrira podatke in od žrtev izsiljuje denar. Ena takšnih novih različic je znana kot izsiljevalska programska oprema Theft Ransomware, ki je že bila opažena pri povzročanju škode v nič hudega slutečih sistemih.

Kaj naredi izsiljevalsko programsko opremo Theft Ransomware nevarno

Izsiljevalska programska oprema Theft je nov sev, povezan z zloglasno družino izsiljevalskih programov Dharma, skupino, ki je znana po napadih na posameznike in organizacije. Ko zlonamerna programska oprema vdre v napravo, šifrira datoteke in jih preimenuje tako, da doda:

• Edinstvena identifikacijska številka žrtve
• E-poštni naslov napadalcev
• Razširitev '.theft'

Na primer, »1.png« postane »1.png.id-9ECFA84E.[datatheft@tuta.io].theft.«

Žrtve so nato soočene z obvestili o odkupnini v obliki besedilnih datotek (»info.txt«) in pojavnim oknom. Medtem ko je besedilno obvestilo jedrnato in vsebuje le kontaktne podatke, pojavno okno ponuja več podrobnosti, vključno s zagotovilom, da je obnovitev podatkov mogoča, če je odkupnina plačana. Napadalci celo ponudijo »dokazilo o dešifriranju«, tako da omogočijo brezplačno obnovitev treh majhnih, nekritičnih datotek.

Pritisk še povečujejo kriminalci, ki trdijo, da so ukradli občutljive poslovne podatke in grozijo, da jih bodo razkrili, če bo plačilo zavrnjeno.

Tehnične značilnosti grožnje

Tako kot druge različice, ki temeljijo na Dharmi, tudi Theft Ransomware ne zaklene celotnih sistemov, temveč šifrira lokalne in omrežno deljene datoteke. Zlonamerna programska oprema aktivno:

• Zaključi procese, povezane z datotekami v uporabi (baze podatkov, bralniki itd.)
• Kopira se na pot %LOCALAPPDATA% in registrira vztrajnost prek ključev Run
• Nastavi se na samodejni zagon ob ponovnem zagonu sistema
• Izbriše senčne kopije nosilca podatkov, da prepreči enostavno obnovitev

Zlonamerna programska oprema zbira tudi podatke o geolokaciji, da ugotovi, ali naj nadaljuje s šifriranjem, po možnosti z izključitvijo določenih regij.

Kako se okužba širi

Izsiljevalska programska oprema Theft uporablja več taktik infiltracije, najpogostejše pa so slabo zaščitene storitve RDP (Remote Desktop Protocol). Napadi s surovo silo in slovarski napadi na slabo zaščitene račune so pogosta vstopna točka. Ko je enkrat notri, lahko zlonamerna programska oprema celo onemogoči požarne zidove, da olajša svoje delovanje.

Drugi znani distribucijski kanali vključujejo:

Lažno predstavljanje in socialni inženiring – zlonamerne priloge ali povezave v e-poštnih sporočilih, zasebnih sporočilih in objavah.

Trojanci in zadnja vrata – uporabljajo se za tiho namestitev izsiljevalske programske opreme.

Zlonamerno oglaševanje in prenosi mimo sistema – sprožijo se zgolj z obiskom ogroženega spletnega mesta.

Sumljivi viri programske opreme – piratska orodja, brezplačni paketi in lažne posodobitve.

Odstranljivi mediji in lokalna omrežja – Omogočajo širjenje zlonamerne programske opreme znotraj sistema, ko pristane v sistemu.

Zakaj je plačilo odkupnine tvegana stava

Dešifriranje datotek, šifriranih s programom Theft, brez ključa napadalca je skoraj nemogoče. Medtem ko so nekatere različice izsiljevalske programske opreme pomanjkljive, so grožnje, ki temeljijo na Dharmi, običajno trdno zgrajene. Pomembno je, da plačilo odkupnine ne zagotavlja okrevanja, številne žrtve ostanejo praznih rok tudi po nakazilu sredstev. Še huje, plačilo financira le nadaljnje kriminalne operacije.

Okrepite svojo obrambo pred izsiljevalsko programsko opremo

Najboljši način za boj proti izsiljevalski programski opremi Theft Ransomware je preprečevanje. Ker odstranitev zlonamerne programske opreme ne bo samodejno obnovila šifriranih datotek, se morajo uporabniki osredotočiti na odpornost in proaktivno obrambo. Ključne prakse, ki bi jih moral uvesti vsak uporabnik, so:

• Redne varnostne kopije – Hranite kopije pomembnih datotek na več varnih lokacijah, kot so diski brez povezave in storitve v oblaku, ki niso preslikane na okuženi sistem.
• Posodobite programsko opremo in sisteme – namestite popravke za odpravo ranljivosti, ki jih izkorišča izsiljevalska programska oprema.
• Uporabite močno preverjanje pristnosti – Zaščitite storitve RDP z edinstvenimi, kompleksnimi gesli in omogočite večfaktorsko preverjanje pristnosti.
• Bodite previdni pri e-poštnih sporočilih in povezavah – Ne odpirajte nepričakovanih prilog in ne klikajte neznanih povezav, tudi če se zdijo legitimne.
• Omeji skrbniške pravice – omejite pravice, da zmanjšate vpliv morebitnega izvajanja zlonamerne programske opreme.
• Namestite ugledna varnostna orodja – Uporabite rešitve proti zlonamerni programski opremi s funkcijami zaščite pred izsiljevalsko programsko opremo.

• Onemogočite makre in skripte – Številni napadi izsiljevalske programske opreme se sprožijo prek dokumentov ali skriptov sistema Office.

• Segmentna omrežja – Preprečite širjenje zlonamerne programske opreme po poslovnih okoljih.

Zaključne misli

Izsiljevalska programska oprema Theft poudarja nenehen razvoj družine Dharma in njeno trajno vlogo v globalnih kampanjah izsiljevalske programske opreme. Zaradi kombinacije šifriranja, kraje podatkov in izsiljevanja je še posebej škodljiva. Ker je obnovitev datotek pogosto nemogoča brez čistih varnostnih kopij, je edina prava obramba večplastna preventiva, močna kibernetska higiena in zanesljive strategije obnovitve.