Друзі-вимагачі

Захист пристроїв від шкідливого програмного забезпечення важливіший, ніж будь-коли, оскільки сучасні кіберзагрози можуть шифрувати цінні дані, порушувати бізнес-операції та розкривати конфіденційну інформацію. Зокрема, програми-вимагачі залишаються однією з найшкідливіших форм шкідливого програмного забезпечення, оскільки вони поєднують шифрування даних з тактикою вимагання, спрямованою на те, щоб змусити жертв платити великі суми грошей. Одним із яскравих прикладів є програма-вимагач Friends, складна загроза, яка націлена на широкий спектр типів файлів, а також використовує крадіжку даних для збільшення ймовірності платежу.

Програма-вимагач «Друзі»: подвійна кіберзагроза з вимаганням

«Друзі-вимагачі» – це шкідлива програма, виявлена дослідниками кібербезпеки, яка шифрує файли на скомпрометованих системах та вимагає викуп в обмін на ключ розшифрування. Окрім шифрування файлів, оператори цієї загрози стверджують, що крадуть конфіденційну інформацію у жертв, перш ніж блокувати їхні дані. Ця тактика, широко відома як подвійне вимагання, дозволяє зловмисникам погрожувати як втратою даних, так і публічним розголошенням конфіденційної інформації.

Після запуску в системі програма-вимагач Friends сканує файли різних типів та шифрує їх. Під час цього процесу вона додає розширення «.friends124» до уражених файлів. Наприклад, файл з назвою «1.png» перетворюється на «1.png.friends124», а «2.pdf» стає «2.pdf.friends124». Це розширення служить чітким показником того, що файли були оброблені шкідливим програмним забезпеченням і більше не доступні звичайними засобами.

Процес шифрування та вимоги викупу

Після завершення процедури шифрування програма-вимагач створює файл під назвою «RANSOM_NOTE.html», що містить інструкції для жертви. У записці повідомляється користувачам про те, що їхні файли зашифровано, та надається контактна інформація для початку переговорів щодо викупу. Жертвам доручено зв’язатися зі зловмисниками через адреси електронної пошти «recovery1@salamati.vip» та «recovery1@amniyat.xyz». Також згадується альтернативний спосіб зв’язку через мережу Tor.

У записці з вимогою викупу стверджується, що конфіденційні та особисті дані були зібрані та зберігаються на приватному сервері, контрольованому зловмисниками. Згідно з повідомленням, ця інформація буде опублікована або продана третім особам, якщо жертва відмовиться виконати вимоги викупу. Щоб переконати жертв у можливості відновлення файлів, злочинці пропонують безкоштовно розшифрувати два або три необов'язкові файли. У записці також попереджається, що сума викупу збільшиться, якщо контакт не буде встановлено протягом 72 годин, і жертвам рекомендується створити обліковий запис ProtonMail перед спілкуванням.

Чому сплата викупу — ризиковане рішення

Жертви часто розглядають можливість сплати викупу, коли критичні файли стають недоступними. Однак оплата кіберзлочинцям не гарантує успішного відновлення. Численні операції з програмами-вимагачами стягували платежі, не надаючи функціональних інструментів розшифрування, або надавали утиліти, які не змогли відновити всі пошкоджені дані.

Навіть коли зловмисники надають інструмент для розшифрування, оплата підтримує злочинну діяльність та заохочує майбутні атаки проти інших осіб та організацій. З цих причин фахівці з кібербезпеки наполегливо не рекомендують вимагати викуп. У більшості випадків зашифровані файли неможливо відновити без ключа розшифрування зловмисників, якщо програма-вимагач не містить суттєвих недоліків реалізації, які дослідники можуть використати для розробки безкоштовного дешифратора.

Відновлення та реагування на інциденти

Негайним пріоритетом після зараження є видалення програми-вимагача Friends Ransomware з ураженої системи. Видалення шкідливого програмного забезпечення допомагає запобігти шифруванню додаткових файлів і зменшує ризик подальшої шкідливої діяльності. Однак саме видалення шкідливого програмного забезпечення не відновлює вже зашифровані дані.

Найнадійніший метод відновлення передбачає відновлення файлів із резервних копій, створених до зараження. Резервні копії слід зберігати окремо від основної системи, щоб вони залишалися недоторканими під час атаки. Якщо резервні копії підключені до тієї ж мережі або залишаються постійно доступними, програма-вимагач може спробувати зашифрувати їх також, залишивши жертв без можливості відновлення.

Як поширюється програма-вимагач Friends

Як і багато сімейств програм-вимагачів, програма-вимагач Friends використовує кілька каналів розповсюдження для досягнення потенційних жертв. Фішингові електронні листи залишаються одними з найефективніших методів доставки. Ці повідомлення часто містять шкідливі вкладення або посилання, які під час відкриття ініціюють завантаження шкідливого програмного забезпечення. Зловмисники зазвичай використовують файли документів, що містять шкідливі макроси, стиснуті архіви, виконувані файли, PDF-файли та корисні навантаження на основі JavaScript.

Додаткові вектори зараження включають трояни, які непомітно встановлюють програми-вимагачі, фальшиві механізми оновлення програмного забезпечення, шкідливу рекламу, скомпрометовані веб-сайти та завантаження, отримані з ненадійних джерел. Портали безкоштовного програмного забезпечення, мережі обміну файлами між користувачами та інші неофіційні платформи розповсюдження часто розміщують шкідливі файли, замасковані під легітимне програмне забезпечення. Заражені USB-накопичувачі також можуть сприяти поширенню програм-вимагачів між системами.

Особливо поширений сценарій зараження пов’язаний із зламами програмного забезпечення та піратськими інструментами активації. Кіберзлочинці часто маскують шкідливе програмне забезпечення під безкоштовні альтернативи платному програмному забезпеченню, використовуючи користувачів, які готові обійти офіційні канали розповсюдження. Після запуску ці, здавалося б, нешкідливі програми можуть без попередження встановлювати програму-вимагач.

Посилення захисту від програм-вимагачів

Ефективний захист від програм-вимагачів вимагає багаторівневої стратегії безпеки, яка поєднує технічні засоби захисту з безпечною поведінкою користувачів. Організації та окремі особи повинні підтримувати надійне програмне забезпечення безпеки, забезпечувати регулярні оновлення операційних систем і програм, а також вимикати непотрібні функції, якими можуть зловмисники зловмисники зловживати. До вкладень електронної пошти та посилань з невідомих або неочікуваних джерел завжди слід ставитися з обережністю, навіть якщо вони здаються законними.

Регулярне резервне копіювання даних є одним з найважливіших захисних заходів. Зберігання кількох резервних копій в окремих місцях, таких як зовнішні диски, що не працюють в автономному режимі, та безпечні віддалені сховища, значно покращує перспективи відновлення після атаки. Тестування резервного копіювання також слід періодично проводити, щоб підтвердити, що дані можна успішно відновити за потреби.

Основні методи безпеки включають:

• Регулярно оновлюйте операційні системи, браузери та програми, встановлюючи останні оновлення безпеки.
• Використовуйте надійне програмне забезпечення для захисту кінцевих точок з можливостями виявлення загроз у режимі реального часу.
• Зберігайте кілька резервних копій, включаючи принаймні одну офлайн- або іншим чином ізольовану копію.
• Уникайте відкриття небажаних вкладень електронної пошти або переходу за підозрілими посиланнями.
• Завантажуйте програмне забезпечення лише з офіційних та перевірених джерел.
• Утримуйтесь від використання піратського програмного забезпечення, кряків або неавторизованих інструментів активації.
• Обмежуйте адміністративні права, коли це можливо.
• Навчайте користувачів про фішингові тактики та атаки соціальної інженерії.

Заключна оцінка

Програма-вимагач Friends являє собою серйозну кіберзагрозу, яка поєднує шифрування файлів із крадіжкою даних та вимаганням. Додаючи розширення «.friends124» до файлів, розміщуючи записку з вимогою викупу під назвою «RANSOM_NOTE.html» та погрожуючи розкриттям викраденої інформації, її оператори намагаються максимізувати тиск на жертв. Хоча можливості відновлення часто обмежені без надійних резервних копій, надійні методи кібербезпеки, регулярне резервне копіювання, своєчасні оновлення програмного забезпечення та обережна поведінка в Інтернеті можуть значно зменшити ймовірність успішної атаки програми-вимагача та мінімізувати вплив у разі зараження.