Hype рансомвер

Хајп рансомвер је типичан пример модерног злонамерног софтвера за шифровање датотека: он скрамблује податке жртава, оставља поруку са захтевом за откуп и додаје посебну екстензију и идентификаторе шифрованим датотекама. Заштита уређаја од претњи попут Хајпа је кључна јер када се шифровање заврши, датотеке се обично не могу опоравити без приватног кључа нападача, а плаћање нападачима не нуди гаранцију опоравка, а подстиче даљи криминал.

Шта Хајп ради — Резиме понашања

Анализа показује да Хајп циља корисничке датотеке и преименује их како би укључио контакт податке нападача и јединствени ИД жртве, а затим додаје нову екстензију. У анализираним узорцима, датотеке су преименоване по обрасцу сличном:
'originalname.EXT' → 'originalname.EXT.EMAIL=[ranshype@gmail.com
ИД=[000C91DC347DF549].хајп

Порука са захтевом за откуп под називом „hype Ransmoware.txt“ је послата; тврди се да је систем „незаштићен“, нуди се „поправка“ ситуације и налаже жртвама да пошаљу тест датотеку као доказ за дешифровање. У поруци се наводе две имејл адресе на „ranshype@gmail.com“.
и „ranshype@tuta.io“ и корисничко име на Телеграму (@hype20233) као средство контакта.

Како напад функционише — Технички преглед

Хајп прати уобичајени животни циклус ransomware-а. Након почетног извршавања (често путем злонамерног прилога, програма за преузимање, експлоатације или крекованог софтвера), скенира доступну меморију за циљне типове датотека, шифрује их симетричним кључем, а затим обично шифрује или штити тај кључ користећи други механизам који поседује нападач. Шифроване датотеке се преименују како би се означило власништво и како би се жртве усмериле ка поруци са захтевом за откуп. Пошто дешифровање захтева кључ нападача или претходно припремљену резервну копију, жртве без поузданих резервних копија имају мало опција за опоравак.

Утицај и опоравак

Рансомвер попут Hype-а узрокује губитак података, оперативне поремећаје и потенцијалне пословне губитке или изложеност регулаторним прописима. Опоравак без резервних копија је мало вероватан: већина шифрованих датотека не може се вратити без алата за дешифровање нападача. Жртвама се снажно саветује да не претпостављају да плаћање гарантује враћање датотека — нападачи можда неће успети да обезбеде исправно дешифровање, захтевати додатно плаћање или поново користити украдене податке. Исправан пут опоравка обично укључује: изоловање заражених система, брисање и враћање са познато добрих резервних копија и јачање инфраструктуре како би се спречила поновна инфекција.

Најбоље безбедносне праксе за смањење ризика

Редовне резервне копије и тестиране рестаурације : чувајте најмање две копије критичних података, једну локално за брзи опоравак и једну ван локације или у облаку, и осигурајте да су резервне копије изоловане, како рансомвер не би могао да дође до њих. Често вршите тестиране рестаурације.

Управљање закрпама и инвентаром : одржавајте ажуриран инвентар софтвера и средстава и благовремено примењујте безбедносне закрпе на оперативне системе, апликације и мрежне уређаје.

Принцип најмањих привилегија и сегментација мреже : ограничити корисничке дозволе тако да само они којима је потребан приступ имају приступ; сегментирати мреже тако да заражена крајња тачка не може слободно да досегне резервне копије, сервере или друге сегменте.

Детекција и одговор на крајње тачке (EDR) + антималвер : примените модерни EDR/антивирус са детекцијом понашања која може да блокира или упозори на сумњиве активности шифровања; подесите упозорења како бисте смањили буку и обезбедили благовремен људски преглед.

Безбедност е-поште и веба : користите напредно филтрирање е-поште, блокирајте сумњиве прилоге и документе са омогућеним макроима и имплементирајте веб филтрирање како бисте спречили кориснике да дођу до познатих злонамерних сајтова.

Вишефакторска аутентификација (MFA) : захтева MFA за удаљени приступ, административне налоге и услуге у облаку како би се смањио ризик од преузимања налога.

Избегавање плаћања и напредак

Плаћање откупнине је опција високог ризика и често неефикасна; не гарантује враћање датотеке и служи за обезбеђивање додатних средстава за криминалне операције. Уместо тога, усмерите ресурсе на обуздавање, опоравак из безбедних резервних копија и побољшање безбедносне ситуације како сличан напад не би могао поново да успе. Ако вам недостају интерни капацитети, ангажујте реномиране фирме за реаговање на инциденте и форензичке фирме које ће вам помоћи, а брза и стручна акција смањује штету и повећава шансе за потпуни опоравак.