NeZha Ransomware

Ransomware mbetet një nga kërcënimet më shkatërruese me të cilat përballen individët dhe organizatat. Një ndërhyrje e vetme e suksesshme mund të ndalojë operacionet, të korruptojë ose të nxjerrë të dhëna të ndjeshme dhe të shkaktojë përpjekje të kushtueshme rikuperimi. Ndërtimi i mbrojtjeve të forta dhe të shtresuara para një incidenti është e vetmja mënyrë e besueshme për të minimizuar ndikimin kur, jo nëse, sulmuesit e provojnë fatin e tyre.

Përmbledhje e kërcënimeve

Studiuesit kanë identifikuar një lloj të sofistikuar të quajtur ransomware NeZha. Ashtu si familjet e tjera në këtë kategori, objektivi kryesor i NeZha është i thjeshtë: të enkriptojë sa më shumë skedarë të jetë e mundur dhe më pas të detyrojë pagesën për një çelës dekriptimi. Operatorët e tij e pozicionojnë veten si e vetmja rrugë për restaurim dhe e rrisin presionin me kufizime kohore dhe kërcënime për rrjedhje të të dhënave.

Sjellja në sistem dhe ndryshimet e skedarëve

Pasi NeZha fiton një pikëmbështetje, ajo fillon të enkriptojë të dhënat e përdoruesve dhe të biznesit nëpër vende të zakonshme. Gjatë enkriptimit, ajo gjithashtu riemërton artikujt duke shtuar një identifikues specifik për viktimën dhe zgjatimin '.NeZha'. Në rastet e vëzhguara, emrat e skedarëve fitojnë një ID të ngjashëm me GUID; për shembull, një skedar i mirë si '1.png' është parë të transformohet në një emër të ngjashëm me '1.png.{A15EF2AD-5BC3-D5DC-D6C1-539CA114597E}.NeZha.' Pasi përfundon kalimin e tij, NeZha lëshon një shënim shpërblimi të titulluar 'README.TXT' në drejtoritë e prekura.

Shënim shpërblese dhe taktika presioni

Shënimi pohon se bazat e të dhënave, dokumentet, fotot dhe skedarët e tjerë janë të enkriptuar dhe se blerja e një çelësi dekriptimi nga sulmuesit është e vetmja zgjidhje. Për të ndërtuar besueshmëri, kriminelët shpesh ofrojnë të dekriptojnë një skedar jo kritik falas. Ata paralajmërojnë kundër modifikimit të skedarëve të kyçur, përdorimit të dekriptuesve të palëve të treta ose kërkimit të ndihmës nga jashtë, duke pretenduar se kjo do të rrisë humbjet. Një afat prej 24 orësh është caktuar për kontaktin fillestar; nëse nuk arrihet, operatorët kërcënojnë të zbulojnë ose shesin të dhëna të ndjeshme të kompanisë që pretendojnë se kanë nxjerrë jashtë kontrollit, një shembull i 'zhvatjes së dyfishtë'.

Realiteti i rimëkëmbjes dhe dilema e pagesës

Teknikisht, shumica e programeve moderne ransomware nuk mund të deshifrohen pa çelësat privatë të sulmuesve, përveç nëse programi keqdashës ka të meta serioze, një skenar i pazakontë. Megjithatë, pagesa është e rrezikshme dhe e dekurajuar: shumë viktima nuk marrin kurrë deshifrues funksionalë edhe pas transferimit të fondeve, dhe pagesa mbështet aktivitetin kriminal. Rruga më e sigurt është të mbështetesh në kopje rezervë të pastra, jashtë linje dhe reagim formal ndaj incidenteve.

Mbajtja nën kontroll dhe largimi

Heqja e NeZha ndalon enkriptimin e mëtejshëm, por nuk i zhbllokon skedarët tashmë të prekur. Prioritetet duhet të jenë izolimi i sistemeve të infektuara nga rrjeti, ruajtja e provave për mjekësinë ligjore, zhdukja e malware-it duke përdorur mjete me reputacion të mirë ose një rindërtim të pastër dhe më pas rivendosja nga kopjet rezervë të njohura si të mira. Nëse dyshoni për nxjerrje të të dhënave, aktivizoni planin tuaj të reagimit ndaj shkeljeve dhe merrni në konsideratë detyrimet ligjore, rregullatore dhe të njoftimit të klientit.

Si përhapet zakonisht NeZha

NeZha ndjek manualin e shumë fushatave të ransomware-it, duke përdorur metodat e shpërndarjes si të drejtuara nga përdoruesit ashtu edhe nga sulmuesit. Sulmuesit mund t'i maskojnë ngarkesat si përmbajtje të ligjshme ose t'i fusin ato fshehurazi në paketa softuerësh, pastaj të shkaktojnë ekzekutimin kur hapet një skedar ose ekzekutohet një skript. Disa variante gjithashtu mund të përhapen anash në rrjetet lokale ose të kopjohen në media të lëvizshme.

Vektorët e zakonshëm të shpërndarjes

• Phishing dhe inxhinieri sociale që çojnë në hapjen e bashkëngjitjeve të bllokuara (Office/OneNote/PDF), skripteve (JavaScript), arkivave (ZIP/RAR) ose skedarëve të ekzekutueshëm (.exe/.run).
• Instalues, ngarkues dhe dyer të pasme të trojanizuara që tërheqin ransomware si një fazë e dytë.
• Shkarkime mashtruese dhe të dërguara nga faqet e kompromentuara ose keqdashëse.
• Burime shkarkimi të pabesueshme (portale falas, pasqyra të palëve të treta, rrjete P2P).
• Fushatat e spamit, mashtrimet online dhe reklamat keqdashëse që ridrejtojnë te ngarkesat e dobishme.
• Mjete aktivizimi të paligjshme ('krisje'), softuer/media të piratuara dhe kërkesa të rreme për përditësim.
• Vetëpërhapet nëpërmjet rrjeteve lokale dhe ruajtjes së lëvizshme (disqe USB, HDD të jashtëm).

Mendime përmbyllëse

NeZha i përshtatet modelit modern të ransomware-it: enkriptim i shpejtë, shtrëngim i fortë dhe kërcënime të besueshme të ekspozimit të të dhënave. Përfitimi juaj më i mirë fitohet para një incidenti, përmes higjienës rigoroze, kontrolleve të shtresuara, kopjeve rezervë të testuara dhe përgjigjes së praktikuar. Kombinoni mbrojtjet teknike me edukimin e përdoruesit dhe operacionet e disiplinuara për të zvogëluar si gjasat ashtu edhe rrezen e shpërthimit të një sulmi NeZha.