Кортизол рансъмуер

Инфекциите със зловреден софтуер продължават да ескалират по мащаб и сложност, което прави от съществено значение за отделните лица и организациите да поддържат силна защита на всички устройства. Ransomware-ът, по-специално, представлява сериозен риск, защото не само компрометира поверителността на данните, но и нарушава достъпността, като блокира потребителите до собствените им файлове. Една наскоро анализирана заплаха, която е пример за тези опасности, е Cortizol Ransomware, сложен щам на зловреден софтуер, криптиращ файлове, предназначен да изнудва жертви чрез сплашване и техническа манипулация.

Cortizol Ransomware: Изчислена схема за криптиране

Рансъмуерът Cortizol беше идентифициран по време на подробни разследвания на зловреден софтуер, проведени от изследователи по информационна сигурност. След като бъде изпълнен в система, рансъмуерът криптира файлове и променя имената им по отличителен модел. Всеки криптиран файл получава добавен идентификатор на жертвата, имейл адрес за контакт и разширение „.Cortizol“. Например, файл, първоначално наречен „1.png“, се преименува на „1.png-id-6640599815[cortizol@atomicmail.io].Cortizol“, докато „2.pdf“ става „2.pdf-id-6640599815[cortizol@atomicmail.io].Cortizol“.

Тази конвенция за преименуване служи за две цели: тя ясно сигнализира, че файловете са взети като заложници, и вгражда идентификационни данни, които нападателите използват за проследяване на жертвите. Освен криптирането на файловете, Cortizol променя тапета на работния плот, за да засили видимостта на атаката, и оставя съобщение за откуп, озаглавено „HOW_TO_RECOVER.txt“, гарантирайки, че жертвата не може да пренебрегне инцидента.

Бележката за откуп и психологическият натиск

В искането за откуп се твърди, че всички файлове на компрометираната система са криптирани и се посочва, че декриптирането е невъзможно без уникален частен ключ, съхраняван от нападателите. Жертвите са предупредени, че всеки опит за използване на инструменти за декриптиране на трети страни или за преименуване на криптирани файлове ще доведе до трайна повреда на данните. Подобни предупреждения са често срещана психологическа тактика, целяща да обезкуражи опитите за самостоятелно възстановяване.

Cortizol инструктира жертвите да намерят файл с име „key.Cortizol“, за който се твърди, че се съхранява в директорията „C:\ProgramData\“ или на други устройства, и да го изпратят на нападателите. Бележката допълнително предупреждава да не се преинсталира или модифицира операционната система Windows без запазване на този ключов файл, което заплашва с необратима загуба на данни, ако инструкциите не се следват точно. Комуникационните канали включват имейл адреса cortizol@atomicmail.io
и акаунт в Telegram, идентифициран като Cortizol2025. Този многоканален подход за контакт увеличава вероятността жертвите да се съобразят.

Въпреки че нападателите настояват, че закупуването на частния ключ е единственият начин за възстановяване на достъпа, опитът в областта на киберсигурността постоянно показва, че плащането на откупа не предлага гаранция за възстановяване на файлове. Киберпрестъпниците може да не успеят да доставят работещ инструмент за декриптиране или просто да прекратят комуникацията след плащането.

Вектори на инфекция и техники за доставка

Рансъмуерът Cortizol се разпространява чрез различни утвърдени методи за разпространение. Фишинг имейлите остават един от най-ефективните механизми за доставка, често съдържащи злонамерени прикачени файлове или вградени връзки, които задействат изтеглянето на полезния товар. Фалшивите схеми за техническа поддръжка и тактиките за социално инженерство допълнително увеличават шансовете за взаимодействие с потребителя.

Злонамерените лица разпространяват ransomware чрез пиратски софтуер, кракове и генератори на ключове, получени от неофициални или peer-to-peer мрежи за споделяне на файлове. Компрометирани уебсайтове, подвеждащи реклами, заразени USB устройства и експлоатация на уязвимости в остарял софтуер осигуряват допълнителни входни точки. Злонамереният полезен товар обикновено е скрит в изпълними файлове, скриптове, компресирани архиви като ZIP или RAR файлове или привидно легитимни документи, включително Word, Excel и PDF файлове. Това смесване на злонамерен код с познати формати повишава процента на успех на инфекциите.

Рискове от въздействие и пост-инфекция

Веднъж активен, Cortizol не само криптира достъпните файлове, но може също така да продължи да сканира за допълнителни данни, които да бъдат компрометирани. Ако не бъде премахнат, рансъмуерът може да се разпространи странично през свързани системи в рамките на една и съща мрежа, усилвайки оперативните смущения и финансовите щети. Колкото по-дълго зловредният софтуер остава на устройството, толкова по-голям е рискът от разширено криптиране и потенциално разполагане на вторичен полезен товар.

Възстановяването без частния ключ на нападателите обикновено е невъзможно, освен ако не съществуват сигурни, незасегнати резервни копия. Поради тази причина организациите и индивидуалните потребители с надеждни офлайн или облачни резервни копия са в много по-добра позиция да възстановят операциите си, без да се поддават на изнудване.

Засилване на защитата срещу ransomware

Ефективната защита срещу заплахи като Cortizol изисква многопластов подход към сигурността, който комбинира технически предпазни мерки с информираност на потребителите. Следните практики значително намаляват излагането на инфекции с ransomware:

• Поддържайте редовни, автоматизирани резервни копия, съхранявани офлайн или в защитени облачни среди, изолирани от основната система.
• Поддържайте операционните системи, приложенията и софтуера за сигурност актуализирани, за да отстранявате известни уязвимости.
• Използвайте реномирани решения за защита на крайни точки, способни да откриват модели на поведение на ransomware.
• Избягвайте да изтегляте пиратски софтуер или файлове от неофициални източници и peer-to-peer мрежи.
• Бъдете внимателни, когато боравите с прикачени файлове към имейли или кликвате върху връзки, особено от неизвестни или неочаквани податели.
• Деактивирайте макросите в документи на Office, освен ако не е абсолютно необходимо и е потвърдено, че е безопасно.

В допълнение към тези мерки, бързото премахване на открития ransomware е от решаващо значение, за да се предотврати по-нататъшно криптиране на файлове или разпространение в мрежата. Процедурите за реагиране при инциденти трябва да включват изолиране на засегнатата система от мрежата, провеждане на цялостно сканиране за зловреден софтуер и възстановяване на чисти данни от резервни копия, където има такива.

Рансъмуерът Cortizol илюстрира как съвременният рансъмуер съчетава технически механизми за криптиране със социално инженерство и психологически натиск. Проактивните практики за сигурност, съчетани с надеждни стратегии за архивиране на данни, остават най-ефективните мерки срещу подобни развиващи се киберзаплахи.