LukaLocker Ransomware

En ny ransomware-aktör som använder dubbel utpressningstaktik har dykt upp med en serie attacker inom en kort period. Denna enhet introducerar en innovativ skåpskadlig programvara kallad LukaLocker Ransomware, utrustad med olika undanflyktstekniker för att fördunkla dess verksamhet och hindra kriminaltekniska utredningar. Identifierad av forskare som "Vulkandemonen", har en cyberkriminell grupp fått uppmärksamhet för sin nya användning av LukaLocker, som var en tidigare osynlig skåpskadlig kod. Filerna som krypteras av detta hot har tillägget '.nba'.

Taktik observerad i vulkandemonattackerna

Angriparna använder sofistikerade metoder för undanflykt, som att implementera minimal offerloggning och övervakningslösningar innan de initierar attacker. Dessutom använder de "hotande" telefonsamtal från "Inget nummerpresentation"-nummer för att tvinga offren att betala lösen eller förhandla om villkor.

Före exploatering rensas loggar systematiskt, vilket hindrar omfattande kriminalteknisk analys av upptäckta incidenter. Gruppen känd som Volcano Demon, avstår från att underhålla en läckageplats trots att de använt dubbel utpressningstaktik under sin verksamhet.

Under deras övergrepp använder Volcano Demon komprometterade administrativa referenser som erhållits från offernätverk för att introducera en Linux-variant av LukaLocker. Denna skadliga programvara krypterar effektivt både Windows-arbetsstationer och servrar. Innan de distribuerar ransomware exfiltrerar angriparna data till sin Command-and-Control-server (C2), vilket ökar deras hävstångseffekt i scenarier med dubbel utpressning.

Offren instrueras att kommunicera via qTox-meddelandeprogramvara och invänta återuppringningar för teknisk support, vilket komplicerar ansträngningarna att spåra kommunikation mellan angriparna och offren.

LukaLocker Ransomware avslutar säkerhetsprogramvara och låser data

LukaLocker Ransomware upptäcktes i juni 2024 som en x64 PE-binär utvecklad i C++. Enligt forskare använder den API-obfuskering och dynamisk API-upplösning för att dölja dess skadliga operationer, undvika upptäckt, analys och reverse engineering. Ransomwaren använder Chacha8-chifferet för att kryptera data i bulk. Den genererar en slumpmässig Chacha8-nyckel och nonce med hjälp av elliptisk kurva Diffie-Hellman (ECDH) nyckelavtalsalgoritm över Curve25519. Filer kan krypteras helt eller i olika procentsatser, till exempel 50 %, 20 % eller 10 %.

Vid körning, om inte '--sd-killer-off' anges, avslutar LukaLocker omedelbart flera viktiga säkerhets- och övervakningstjänster över nätverket. Dessa inkluderar verktyg mot skadlig programvara och slutpunktsskydd, säkerhetskopierings- och återställningslösningar, databasprogramvara från Microsoft, IBM och Oracle, Microsoft Exchange Server, virtualiseringsprogramvara och verktyg för fjärråtkomst och övervakning. Det avslutar också processer relaterade till webbläsare, Microsoft Office och olika moln- och fjärråtkomstapplikationer.

Hur skyddar du dina data och enheter bättre från ransomware-hot?

För att bättre skydda dina data och enheter från ransomware och skadlig programvara, överväg att implementera följande metoder:

• KeeYour Applications Updated : Uppdatera regelbundet ditt operativsystem, applikationer och säkerhetsprogramvara för att korrigera sårbarheter som kan utnyttjas av skadlig programvara.
• Använd starka, unika lösenord : Använd komplexa lösenord och byt dem ofta. Överväg att hitta en lösenordshanterare för att hålla reda på dem på ett säkert sätt.
• Aktivera Multi-Factor Authentication (MFA) : Lägg till ett extra lager av säkerhet genom att aktivera MFA på konton som stöder det, vilket gör det svårare för angripare att få obehörig åtkomst.
• Säkerhetskopiera data regelbundet : Skapa och underhåll regelbundna säkerhetskopior av viktiga filer. Lagra säkerhetskopior på en separat plats, antingen offline eller i molnet, för att garantera deras säkerhet även om ditt huvudsystem äventyras.
• Var försiktig med e-postmeddelanden och länkar : Undvik att öppna bilagor eller följa länkar från okända eller misstänkta källor. Verifiera avsändarens identitet innan du interagerar med oväntade e-postmeddelanden.
• Installera och underhålla säkerhetsprogramvara : Använd ansedd anti-malware-programvara och håll den uppdaterad. Aktivera realtidsskydd och kör regelbundna skanningar.
• Säkra ditt nätverk : Använd ett starkt, unikt Wi-Fi-lösenord och aktivera WPA3-kryptering. Överväg att skapa ett gästnätverk för besökare för att hålla ditt primära nätverk säkert.
• Inaktivera makron i Office-dokument : Inaktivera makron i Microsoft Office-dokument om du inte specifikt behöver dem. Makron är en vanlig metod för att sprida skadlig programvara.
• Utbilda dig själv och andra : Håll dig informerad om de senaste cybersäkerhetshoten och bästa praxis. Utbilda familjemedlemmar eller kollegor om nätfisketaktik och säkert beteende online.
• Använd brandväggar : Aktivera brandväggar på dina enheter och nätverk för att blockera obehörig åtkomst och övervaka inkommande och utgående trafik för misstänkt aktivitet.

Genom att kombinera dessa strategier kan risken för att falla offer för ransomware och andra skadliga hot minskas drastiskt.