Ior Ransomware

Оскільки атаки програм-вимагачів стають все більш витонченими та руйнівними, захист ваших пристроїв від шкідливих загроз ніколи не був настільки важливим. Ці атаки можуть зашифрувати ваші дані, порушити бізнес-операції та вимагати гроші від жертв, часто без гарантії відновлення даних. Нещодавнє відкриття програми-вимагача Ior підкреслює постійну загрозу, яку становлять сучасні сімейства програм-вимагачів. Розуміння того, як працює програмне забезпечення-вимагач Ior, і виконання надійних заходів безпеки можуть значно знизити ризик стати жертвою таких атак.

Програмне забезпечення-вимагач Ior: нова загроза в родині Dharma

Програмне забезпечення-вимагач Ior належить до сумнозвісної родини програм-вимагачів Dharma , яка має репутацію націлених як на компанії, так і на окремих осіб. Як тільки Ior заражає систему, він швидко шифрує файли та перейменовує їх у форматі filename.id-[ID STRING][attacker's email].ior. Наприклад, "document.pdf" буде перейменовано на "document.pdf.id-9ECFA74E.[jasalivan@420blaze.it].ior", блокуючи файл і роблячи його недоступним для користувача.

Програма-вимагач Ior залишає два типи нотаток про викуп:

• Спливаюче вікно, яке негайно інформує жертву про атаку.
• Файл під назвою «manual.txt», який містить детальні інструкції щодо відновлення зашифрованих даних.

Ці повідомлення про викуп пропонують жертві зв’язатися зі зловмисниками за допомогою наданих електронних адрес — jasalivan@420blaze.it або ja.salivan@keemail.me — протягом 12 годин. У примітці також пропонується розшифрувати до трьох файлів (менше 3 МБ) як доказ того, що розшифровка можлива. Однак зловмисники застерігають від спроб перейменування зашифрованих файлів або використання інструментів дешифрування сторонніх розробників, загрожуючи безповоротною втратою даних або вищими витратами на дешифрування, якщо ці дії будуть вжиті.

Методи атаки: як програмне забезпечення-вимагач заражає системи

Програмне забезпечення-вимагач Ior є дуже небезпечним не лише через свої можливості шифрування файлів, але й через агресивний підхід до відключення функцій безпеки та забезпечення стійкості. Шкідливе програмне забезпечення:

• Шифрує як локальні, так і спільні файли в мережі, впливаючи не лише на інфікований комп’ютер, але й на будь-які підключені пристрої зберігання чи системи.
• Вимикає системний брандмауер, роблячи пристрій більш вразливим до подальших атак.
• Видаляє тіньові копії томів, що не дозволяє користувачам відновлювати файли за допомогою вбудованих точок відновлення Windows.
• Копіюється в каталог %LOCALAPPDATA% і реєструється за допомогою клавіш Windows Run, що дозволяє автоматично перезавантажуватися під час перезавантаження системи.

Крім того, програма-вимагач Ior здатна збирати дані про місцезнаходження та виключати певні каталоги з шифрування, пропонуючи рівень налаштування на основі стратегії зловмисника.

Переносники інфекції: як доставляється програмне забезпечення-вимагач

Як і багато штамів програм-вимагачів із сімейства Dharma, програма-вимагач Ior часто доставляється через уразливі служби протоколу віддаленого робочого столу (RDP). Кіберзлочинці використовують слабкі конфігурації RDP, використовуючи грубу силу або атаки за словником, щоб зламати погано керовані облікові дані. Однак це не єдиний спосіб, яким Ior заражає системи:

• Пошкоджені вкладення електронної пошти або посилання : фішингові електронні листи зі шкідливими вкладеннями або вбудованими посиланнями є поширеним способом доставки програм-вимагачів.
• Використовувані вразливості програмного забезпечення : системи без виправлень є головними цілями для програм-вимагачів, оскільки зловмисники можуть використовувати відомі вразливості в застарілому програмному забезпеченні чи операційних системах.
• Піратське програмне забезпечення . Незаконно завантажене програмне забезпечення часто приховує зловмисне програмне забезпечення, зокрема програми-вимагачі, які несвідомо запускають користувачі.
• Зламані веб-сайти : користувачів можуть обманом змусити завантажити зловмисне програмне забезпечення за допомогою оманливої реклами, підроблених завантажень або зламаних веб-сайтів.
• Однорангові мережі (P2P) і сторонні завантажувачі : небезпечні файли можуть легко поширюватися через торрент-платформи або сторонні менеджери завантажень, які не мають засобів контролю безпеки.

Найкращі методи безпеки для захисту від програм-вимагачів

Щоб захистити себе від програм-вимагачів та інших кіберзагроз, важливо дотримуватися найкращих практик безпеки. Діючи на попередження та вживаючи належних запобіжних заходів, ви можете значно зменшити ризик стати жертвою цих атак. Ось ключові кроки, щоб посилити захист від програм-вимагачів:

1. Регулярно створюйте резервні копії своїх даних. Часте резервне копіювання є вашим найсильнішим захистом від програм-вимагачів. Переконайтеся, що резервні копії всіх основних файлів створено на незалежному пристрої зберігання даних або в хмарній службі, яка від’єднана від основної системи. Таким чином, якщо ваші дані зашифровані, ви можете відновити їх без необхідності платити викуп.
2. Безпечний віддалений доступ: якщо ви використовуєте RDP або інші служби віддаленого доступу, переконайтеся, що вони безпечно налаштовані:

Вимкніть RDP, якщо він не використовується.

Використовуйте надійні унікальні паролі для облікових записів із віддаленим доступом.

Увімкніть багатофакторну автентифікацію (MFA) для додаткової безпеки.

Обмежте доступ RDP до певних IP-адрес через брандмауер або VPN.

1. Оновлюйте системи та програмне забезпечення: застаріле програмне забезпечення є частою мішенню для атак програм-вимагачів. Переконайтеся, що вашу операційну систему, програми та програмне забезпечення для захисту від зловмисного програмного забезпечення оновлено останніми виправленнями безпеки. Автоматизуйте оновлення, де це можливо, щоб мінімізувати вікно вразливості.
2. Розгортайте рішення для захисту від програм-вимагачів: інвестуйте в надійне програмне забезпечення для захисту від зловмисних програм, яке включає захист від програм-вимагачів. Багато сучасних пакетів безпеки можуть виявляти підозрілу поведінку, як-от шифрування файлів або несанкціоновані зміни налаштувань системи, і зупиняти програми-вимагачі, перш ніж вони завдадуть шкоди.
3. Будьте обережні з електронними листами: фішингові електронні листи залишаються одним із найефективніших способів розповсюдження зловмисниками програм-вимагачів. Уникайте натискання небажаних вкладень або посилань електронної пошти. Перевіряйте легітимність неочікуваних електронних листів, навіть якщо вони надходять із надійних джерел.
4. Використовуйте надійні унікальні паролі: слабкі паролі є основною вразливістю в атаках програм-вимагачів, особливо тих, що включають тактику грубої сили на RDP. Використовуйте надійні, складні паролі та регулярно їх змінюйте. Розгляньте можливість використання менеджера паролів для зберігання та створення унікальних паролів для різних облікових записів.
5. Вимкніть макроси та обмежте виконання сценаріїв: багато заражень програмами-вимагачами починаються через шкідливі макроси в документах або використання механізмів сценаріїв, таких як PowerShell. Вимкніть макроси за замовчуванням і обмежте виконання сценаріїв, щоб мінімізувати ризик зараження.
6. Використовуйте брандмауер і сегментацію мережі: брандмауер може зупинити неавторизований доступ до вашої системи, а сегментація мережі може зменшити поширення програм-вимагачів в організації. Ізолюючи критичні системи та обмежуючи доступ до мережі, ви можете стримати шкоду від атаки.

Висновок: Будьте в курсі та напоготові

Програма-вимагач Ior, як і інші представники сімейства Dharma, становить серйозну загрозу як для окремих осіб, так і для організацій. Його здатність шифрувати дані, вимикати функції безпеки та поширюватися через скомпрометовані мережі робить його грізним ворогом. Однак, застосувавши найкращі методи, описані вище — регулярне резервне копіювання, оновлення програмного забезпечення, надійні засоби керування віддаленим доступом і надійні паролі — ви можете зміцнити свій захист і мінімізувати вплив атаки програм-вимагачів. Запорукою безпеки є проактивна пильність і відданість найкращим практикам кібербезпеки.

Записка про викуп, яку програма-вимагач Ior показує у вигляді спливаючого вікна:

'All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: jasalivan@420blaze.it YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:ja.salivan@keemail.me
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

Повідомлення від зловмисників у вигляді текстового файлу:

'You want to return?

write email jasalivan@420blaze.it or ja.salivan@keemail.me'