FIND Ransomware

Protegir els vostres dispositius del programari maliciós s'ha convertit en una necessitat més que en una opció. Els ciberdelinqüents continuen evolucionant les seves tàctiques, creant varietats de ransomware cada cop més complexes dissenyades per explotar fins i tot petites debilitats de seguretat. El ransomware FIND, una variant recentment descoberta de la coneguda família Dharma, exemplifica la sofisticació i la persistència de les operacions modernes de ransomware.

Dins de l’atac de ransomware FIND

El ransomware FIND funciona amb la mateixa eficiència implacable que ha convertit Dharma en una de les famílies de ransomware més actives. En executar-se, el programari maliciós comença a xifrar els fitxers de la víctima, fent-los inaccessibles. En el procés, canvia el nom de cada fitxer afegint-hi l'identificador únic de la víctima, una adreça de correu electrònic controlada per l'atacant i l'extensió '.FIND'; per exemple, canvia el nom de '1.png' a '1.png.id-9ECFA84E.[findourtxt@tuta.io]
].FIND.' Una altra variant observada d'aquesta amenaça utilitza l'extensió '.FIND5'.

Després del xifratge, el ransomware fa la seva resposta a través de dos canals: un missatge emergent i un fitxer de nota de rescat titulat "info.txt". La nota informa a les víctimes que els seus fitxers s'han xifrat i els indica que contactin amb els atacants a través d'una de les dues adreces de correu electrònic: "findourtxt@tuta.io" o "findourtxt@mailum.com", utilitzant el seu ID assignat.

La nota de rescat afirma, a més, que algunes de les dades de la víctima han estat exfiltrades i adverteix que, si no es compleix, la informació robada es vendrà o es compartirà amb tercers. També desaconsella a les víctimes que canviïn el nom dels fitxers o intentin desxifrar dades mitjançant eines de tercers, al·legant que aquestes accions podrien provocar la pèrdua permanent de dades o demandes de rescat més elevades.

Com funciona el ransomware FIND

Igual que altres variants de Dharma, el ransomware FIND segueix un procés d'infecció de diversos passos dissenyat per maximitzar l'impacte i la persistència. Un cop actiu en un sistema, el programari maliciós xifra els fitxers tant a les unitats locals com a les de xarxa, dirigint-se a una àmplia gamma de tipus de dades i fins i tot eliminant les còpies d'ombra de volum per evitar una fàcil recuperació.

També altera la configuració del sistema desactivant el Firewall de Windows, establint persistència col·locant còpies de si mateix al directori %LOCALAPPDATA% i afegint entrades a les claus del registre Executar. A més, algunes variants basades en Dharma recopilen dades d'ubicació i poden excloure carpetes o unitats específiques del sistema del xifratge, probablement per motius operatius o estratègics.

Vectors d’infecció i canals de distribució

El ransomware FIND, com els seus predecessors, es propaga mitjançant una combinació de mètodes enganyosos i oportunistes. Els ciberdelinqüents utilitzen campanyes de phishing, fitxers adjunts maliciosos i enllaços fraudulents incrustats als correus electrònics per enganyar els usuaris perquè iniciïn la infecció. Altres mètodes de distribució habituals inclouen:

1. Descàrregues automatitzades des de llocs web compromesos o maliciosos.
2. Instal·lació a través de programari pirata, actualitzacions falses o aplicacions piratejades.
3. Explotació de vulnerabilitats de programari sense pegats i configuracions febles del Protocol d'escriptori remot (RDP).
4. Anuncis maliciosos, xarxes P2P i unitats extraïbles (USB) infectades.

Un cop instal·lat, FIND xifra les dades crítiques i exigeix el pagament, sovint en criptomoneda, per proporcionar una clau de desxifrat, tot i que no hi ha cap garantia que el pagament porti a una recuperació correcta.

Millors pràctiques de seguretat per mantenir-se protegit

La defensa contra el ransomware com FIND requereix un enfocament proactiu i per capes. Els usuaris i les organitzacions poden reduir significativament el risc d'infecció implementant les pràctiques essencials següents:

1. Enfortir la seguretat dels dispositius i de la xarxa :

• Actualitzeu regularment els sistemes operatius, els navegadors i el programari per corregir les vulnerabilitats conegudes.
• Configurar tallafocs i eines antivirus per detectar i bloquejar activitats sospitoses.
• Desactiveu l'accés RDP si no és necessari o restringiu-lo mitjançant contrasenyes fortes, autenticació multifactor i llistes blanques d'IP.

2. Practiqueu hàbits de navegació i correu electrònic segurs :

• Eviteu obrir fitxers adjunts no sol·licitats o fer clic en enllaços de remitents desconeguts.
• Baixeu programari només de fonts fiables i eviteu torrents o programes piratejats.
• Aneu amb compte quan respongueu a missatges inesperats d'"urgència" o d'"alerta de seguretat".

3. Mantenir còpies de seguretat fiables :

• Mantingueu còpies de seguretat de les dades essencials fora de línia o al núvol.

• Assegureu-vos que els dispositius de còpia de seguretat es desconnectin després de cada ús per evitar el xifratge durant un atac.

4. Educar i preparar :

• Formar tots els usuaris en la identificació d'intents de phishing i comportaments maliciosos.
• Desenvolupar un pla de resposta a incidents que descrigui passos clars per aïllar els sistemes infectats i restaurar les operacions.

Reflexions finals

El ransomware FIND representa una altra evolució de la família Dharma, persistent i destructiva. En xifrar dades valuoses, manipular la configuració de seguretat i aprofitar la pressió psicològica mitjançant notes de rescat, aquest programari maliciós representa una greu amenaça tant per a individus com per a organitzacions.

Mantenir una forta higiene de ciberseguretat, estar alerta contra l'activitat sospitosa en línia i fer còpies de seguretat de dades periòdiques continuen sent les defenses més efectives contra aquestes amenaces de ransomware.