LockBeast ransomware

Рансомвер остаје једна од најопаснијих сајбер претњи за организације и кућне кориснике. Један успешан упад може закључати критичне пословне податке, зауставити операције и покренути скупе напоре за реаговање на инциденте и опоравак. Изградња слојевите одбране и спремности за реаговање пре епидемије је разлика између контролисаног догађаја и кризе.

РЕЗИМЕ ПРЕТЊИ

Када се LockBeast Ransomware покрене, он шифрује корисничке податке, мења имена датотека како би уградио идентификатор жртве и оставља поруку са захтевом за откуп под називом „README.TXT“. Оператори комбинују шифровање са крађом података како би извршили притисак на жртве да плате, претећи да ће цурити осетљиве информације ако се контакт не успостави у одређеном року.

РАДНИ ТОК ШИФРОВАНЈА И ПРЕИМЕНОВАЊА ДАТОТЕКА

Током шифровања, LockBeast додаје и ИД специфичан за жртву и екстензију „.lockbeast“ циљаним датотекама. На пример, „1.png“ постаје „1.png.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast“, а „2.pdf“ постаје „2.pdf.{ED08A034-A9A0-4195-3CC2-81B2521AD6B5}.lockbeast“. Овај образац омогућава нападачима да прате појединачне жртве и потврде плаћање пре него што обезбеде било какву могућност дешифровања. Рутина шифровања има за циљ да покрије широк спектар типова података, укључујући документе, базе података, архиве, медије и спремишта изворног кода.

ОТКУПНИНА И ТАКТИКА ДВОСТРУКЕ ИЗЦЕНЕ

У напомени „README.TXT“ се тврди да су све важне датотеке недоступне и наводи се да су осетљиви записи, као што су историја трансакција, лични подаци купаца, подаци о платним картицама и стање на рачунима, украдени у инфраструктуру нападача. Напомена пружа контакт податке путем програма за размену порука усмерених на приватност (Session и Tox), упозорава на преименовање датотека или коришћење дешифратора трећих страна и поставља рок од седам дана пре наводног објављивања података. Ово комбинује класично изнуђивање шифровањем датотека са претњама јавног цурења података како би се повећао притисак. Плаћање остаје ризично: не постоји гаранција да ће дешифровање функционисати, бити потпуно опорављено или да ће се избрисати украдене информације чак и ако се пошаље откупнина.

ПОЧЕТНИ ПРИСТУП И ВЕКТОР ДИСТРИБУЦИЈЕ

Уочене и вероватне методе испоруке подударају се са уобичајеним операцијама ransomware-а. Претње шире инфекције путем злонамерних прилога или линкова е-поште, тројанизованог или пиратског софтвера и keygen-ова, превара „подршке“ друштвеним инжењерингом и искоришћавања незакрпљених рањивости. Додатне путање укључују преусмеравања путем drive-by или malvertising-а, преузимаче трећих страна, компромитоване или сличне веб странице, заражене преносиве медије и peer-to-peer дељење датотека. Извршавање често почиње када корисник отвори заражену извршну датотеку, архиву, Office или PDF документ или скрипту.

СМЕРНИЦЕ ЗА СУЗБИЈАЊЕ И ИСКОРЕЊИВАЊЕ

Ако се сумња да је LockBeast заразио систем, одмах реагујте. Изолујте погођене машине од мреже (жичне и бежичне) како бисте спречили даље шифровање и латерално ширење. Онемогућите дељене дискове и опозовите сумњиве приступне токене или сесије. Сачувајте нестабилне артефакте и логове за форензику, а затим уклоните злонамерни софтвер користећи поуздано, потпуно ажурирано безбедносно решење или познато добро окружење за реаговање на инциденте. Враћајте податке само из чистих, офлајн резервних копија након што се потврди да је претња искорењена; у супротном, поновна инфекција може поново шифровати враћене податке.

ОПОРАВАК И УТИЦАЈ НА ПОСЛОВАЊЕ

Дешифровање без алата нападача обично није изводљиво уколико не постоје резервне копије. Дајте приоритет обнављању најкритичнијих услуга са непроменљивих или офлајн снимака. Сваку тврдњу о крађи података третирајте као веродостојну док се не докаже супротно: процените који су подаци могли бити изложени, припремите обавештења ако је то потребно законом или уговором и пратите злоупотребу (нпр. превару против купаца).

ОДЛУКЕ О ПЛАЋАЊУ

Иако сваки инцидент има јединствене оперативне и правне аспекте, плаћање откупнине финансира криминалне активности и не нуди гаранцију потпуног опоравка података или њиховог неоткривања. Прво размотрите алтернативе: обнављање из резервних копија, делимичну реконструкцију података и мере заштите купаца.

СУШТИНА

ЛокБист комбинује агресивно шифровање са претњама цурења података како би присилио жртве. Брза изолација, дисциплиновано искорењивање и поуздане офлајн резервне копије су кључне за опоравак. Дугорочно гледано, организације које улажу у закрпљивање, најмање привилегије, робусне контроле е-поште и веба и реалистичну спремност за инциденте драматично смањују и вероватноћу и утицај ransomware догађаја.