RestoreMyData Ransomware
แคมเปญมัลแวร์มีการพัฒนาอย่างต่อเนื่อง และแรนซัมแวร์ยังคงเป็นหนึ่งในภัยคุกคามที่สร้างความเสียหายมากที่สุดสำหรับผู้ใช้และองค์กรทุกขนาด การบุกรุกที่ประสบความสำเร็จเพียงครั้งเดียวสามารถหยุดการดำเนินงาน ทำลายการสำรองข้อมูล ก่อให้เกิดการรีดไถจากการรั่วไหลของข้อมูล และนำไปสู่การกู้คืนข้อมูลที่ยาวนานและมีค่าใช้จ่ายสูง การป้องกันเชิงรุกและการตอบสนองอย่างมีวินัยมีบทบาทสำคัญในการจำกัดรัศมีการโจมตีเมื่อเกิดการโจมตี ไม่ใช่หากเกิดขึ้น
สารบัญ
RestoreMyData Ransomware คืออะไร?
RestoreMyData ล็อกข้อมูลของเหยื่อและเรียกค่าไถ่ แรนซัมแวร์สายพันธุ์นี้ถูกค้นพบระหว่างการสืบสวนหาภัยคุกคามที่กำลังดำเนินอยู่ เช่นเดียวกับครอบครัวอื่นๆ ในปัจจุบัน แรนซัมแวร์เข้ารหัสไฟล์และเรียกเก็บเงินค่าโปรแกรมถอดรหัส ขณะเดียวกันก็อ้างว่าขโมยข้อมูลธุรกิจที่ละเอียดอ่อนเพื่อกดดันเหยื่อด้วยการรั่วไหลสู่สาธารณะ
การโจมตีเกิดขึ้นได้อย่างไร
หลังจากได้ฐานที่มั่นแล้ว ซึ่งมักผ่านกลวิธีทางโซเชียล การดาวน์โหลดที่เป็นอันตราย หรือมัลแวร์รอง แรนซัมแวร์จะเริ่มกระบวนการเข้ารหัส ชื่อไฟล์ที่ได้รับผลกระทบแต่ละไฟล์จะถูกแก้ไขโดยการเพิ่ม '.restoremydata.pw' ตัวอย่างเช่น '1.png' จะกลายเป็น '1.png.restoremydata.pw' และ '2.pdf' จะกลายเป็น '2.pdf.restoremydata.pw' เมื่อการเข้ารหัสเสร็จสิ้น มัลแวร์จะปล่อยบันทึกเรียกค่าไถ่ชื่อ 'HOW_TO_RECOVERY_FILES.txt' บันทึกดังกล่าวมุ่งเป้าไปที่ธุรกิจมากกว่าผู้ใช้ตามบ้าน โดยเตือนว่าการดำเนินงานมีความเสี่ยง ไฟล์จะไม่สามารถเข้าถึงได้หากไม่ได้รับความช่วยเหลือจากผู้โจมตี และข้อมูลองค์กรที่ถูกขโมยจะถูกเผยแพร่หากไม่ปฏิบัติตามคำเรียกร้อง
ภายในบันทึกเรียกค่าไถ่: กลยุทธ์และแรงกดดัน
ข้อความระบุว่ามีเพียงผู้โจมตีเท่านั้นที่ถือคีย์ถอดรหัสเฉพาะ และตัวถอดรหัสที่ใช้กับเหยื่อรายอื่นจะไม่ทำงาน ข้อความเตือนไม่ให้แก้ไขไฟล์ที่เข้ารหัสเพื่อหลีกเลี่ยงความเสียหายที่ไม่อาจย้อนกลับได้ เพื่อเป็น 'หลักฐานการถอดรหัส' ผู้ปฏิบัติการเสนอให้กู้คืนไฟล์ทดสอบเพียงไฟล์เดียว ซึ่งโดยทั่วไปจะมีขนาดไม่เกิน 2 MB และไม่ใช่ไฟล์สำคัญ เช่น ฐานข้อมูล ข้อมูลสำรอง หรือสเปรดชีตขนาดใหญ่ นี่เป็นเทคนิควิศวกรรมสังคมที่นิยมใช้กันทั่วไป ซึ่งออกแบบมาเพื่อสร้างความน่าเชื่อถือและผลักดันให้เหยื่อยอมจ่ายเงิน
การจ่ายค่าไถ่: ความเสี่ยงและความเป็นจริง
ในกรณีส่วนใหญ่ การถอดรหัสไฟล์ที่ถูกล็อกโดยแรนซัมแวร์สมัยใหม่นั้นไม่สามารถทำได้หากไม่มีคีย์ของผู้โจมตี อย่างไรก็ตาม การชำระเงินไม่ได้รับประกันว่าจะกู้คืนได้ เหยื่อมักรายงานว่าไม่ได้รับสิ่งใดที่เป็นประโยชน์หลังจากโอนเงิน การจ่ายเงินยังเป็นการกระตุ้นระบบนิเวศของอาชญากรอีกด้วย แนวทางป้องกันคือการหลีกเลี่ยงการชำระเงิน มุ่งเน้นไปที่การกำจัด และกู้คืนจากการสำรองข้อมูลที่ปลอดภัย
ความคงอยู่ การเคลื่อนไหวด้านข้าง และการแพร่กระจาย
นอกเหนือจากการประนีประนอมเบื้องต้นแล้ว ภัยคุกคามบางอย่างยังพยายามแพร่กระจายข้ามเครือข่ายท้องถิ่น ใช้เครื่องมือการดูแลระบบในทางที่ผิด ขโมยข้อมูลประจำตัว และแพร่กระจายผ่านสื่อบันทึกข้อมูลแบบถอดได้ (ไดรฟ์ USB และดิสก์ภายนอก) ควรสันนิษฐานว่า RestoreMyData สามารถใช้เทคนิคที่คล้ายคลึงกันที่พบในระบบนิเวศ ซึ่งหมายความว่าความเร็วในการควบคุมจึงมีความสำคัญอย่างยิ่งเมื่อตรวจพบตัวบ่งชี้
ช่องทางการเข้าถึงและการจัดส่งเบื้องต้น
ผู้ปฏิบัติการแรนซัมแวร์มักอาศัยช่องทางการแพร่กระจายที่คุ้นเคย เช่น อีเมลและข้อความฟิชชิ่งที่มีไฟล์แนบหรือลิงก์ที่ซ่อนไว้ โทรจันและตัวโหลดที่ปล่อยเพย์โหลดในภายหลัง การดาวน์โหลดแบบผ่านๆ จากเว็บไซต์ที่ถูกบุกรุก พอร์ทัลซอฟต์แวร์ฟรีและเครือข่าย P2P ที่มีตัวติดตั้งที่ปรับเปลี่ยนใหม่ การโฆษณาแฝงมัลแวร์ การอัปเดตปลอม และเครื่องมือ "แคร็ก" เนื้อหาที่เป็นอันตรายมักถูกปกปิดไว้ในรูปแบบไฟล์เก็บถาวร (ZIP/RAR) ไฟล์ปฏิบัติการ ไฟล์ PDF เอกสาร Office หรือ OneNote JavaScript และอื่นๆ โดยจะเริ่มดำเนินการทันทีที่ผู้ใช้เปิดหรือเรียกใช้ไฟล์
กลยุทธ์การกำจัดและการฟื้นฟู
แยกระบบที่ได้รับผลกระทบออกจากเครือข่ายทันทีเพื่อหยุดยั้งการแพร่กระจายของการเข้ารหัสและการขโมยข้อมูล ดำเนินการลบข้อมูลอย่างละเอียดโดยใช้เครื่องมือรักษาความปลอดภัยที่มีชื่อเสียงและอัปเดตล่าสุด โปรดเข้าใจว่าการลบข้อมูลจะช่วยหยุดความเสียหายเพิ่มเติม แต่ไม่สามารถถอดรหัสข้อมูลที่ถูกล็อกไว้แล้วได้ การกู้คืนข้อมูลควรมาจากข้อมูลสำรองที่ยังไม่ได้รับผลกระทบ
บรรทัดล่าง
RestoreMyData Ransomware คือตัวอย่างของกลยุทธ์การรีดไถซ้ำซ้อนในปัจจุบัน ได้แก่ การเข้ารหัสที่รวดเร็ว กุญแจเฉพาะตัวของเหยื่อ จดหมายเรียกค่าไถ่ที่สร้างความกดดันสูง และภัยคุกคามที่จะรั่วไหลของข้อมูลที่ถูกขโมย หลีกเลี่ยงการจ่ายเงินทุกครั้งที่ทำได้ กำจัดมัลแวร์อย่างเด็ดขาด และพึ่งพาการสำรองข้อมูลที่แข็งแกร่งและผ่านการทดสอบอย่างสม่ำเสมอเพื่อกู้คืนข้อมูล องค์กรที่ผสมผสานการป้องกันแบบหลายชั้น การควบคุมสิทธิ์ที่เข้มงวด การสำรองข้อมูลที่ยืดหยุ่น และการรับมือกับเหตุการณ์ที่เกิดขึ้นอย่างมีประสิทธิภาพ จะช่วยเพิ่มโอกาสในการรับมือกับการโจมตีประเภทนี้ได้อย่างมาก
ข้อความ
พบข้อความต่อไปนี้ที่เกี่ยวข้องกับ RestoreMyData Ransomware:
Your business is at serious risk. Your files are now encrypted with the most secure military algorithms. No one can help you decrypt your files without our special decoder. We understand that you will be able to restore your files from backups. We want to warn you that we have dropped all your documents related to accounting, administration, law, HR, NDA, database, passwords and much more! |
