FIND Ransomware

Laitteiden suojaamisesta haittaohjelmilta on tullut välttämättömyys eikä valinta. Kyberrikolliset kehittävät jatkuvasti taktiikoitaan ja luovat yhä monimutkaisempia kiristysohjelmakantoja, jotka on suunniteltu hyödyntämään pieniäkin tietoturvaheikkouksia. FIND-kiristysohjelma, äskettäin löydetty variantti pahamaineisesta Dharma-perheestä, on esimerkki nykyaikaisten kiristysohjelmaoperaatioiden hienostuneisuudesta ja pysyvyydestä.

FIND-kiristysohjelmahyökkäyksen sisällä

FIND-kiristyshaittaohjelma toimii samalla armottomalla tehokkuudella, joka on tehnyt Dharmasta yhden aktiivisimmista kiristyshaittaohjelmaperheistä. Suorituksen jälkeen haittaohjelma alkaa salata uhrin tiedostoja, jolloin ne eivät ole enää käyttökelpoisia. Prosessin aikana se nimeää jokaisen tiedoston uudelleen liittämällä uhrin yksilöllisen tunnuksen, hyökkääjän hallinnoiman sähköpostiosoitteen ja '.FIND'-tiedostopäätteen – esimerkiksi nimeämällä tiedoston '1.png' uudelleen muotoon '1.png.id-9ECFA84E.[findourtxt@tuta.io]
].FIND.' Toinen havaittu tämän uhan variantti käyttää sen sijaan '.FIND5'-päätettä.

Salaamisen jälkeen kiristyshaittaohjelma toimittaa vaatimuksensa kahden kanavan kautta: ponnahdusikkunan ja info.txt-nimisen lunnasvaatimustiedoston kautta. Viesti ilmoittaa uhreille, että heidän tiedostonsa on salattu, ja kehottaa heitä ottamaan yhteyttä hyökkääjiin sähköpostiosoitteella findourtxt@tuta.io tai findourtxt@mailum.com käyttäen heille määritettyä tunnusta.

Lunnasvaatimuksessa väitetään lisäksi, että osa uhrin tiedoista on vuotanut, ja varoitetaan, että noudattamatta jättäminen johtaa varastettujen tietojen myyntiin tai jakamiseen kolmansille osapuolille. Se myös kehottaa uhreja olemaan nimeämättä tiedostoja uudelleen tai yrittämättä purkaa tietojen salausta kolmannen osapuolen työkaluilla, koska tällaiset toimet voivat johtaa pysyvään tietojen menetykseen tai korkeampiin lunnasvaatimuksiin.

Miten FIND-kiristysohjelma toimii

Kuten muutkin Dharma-muunnokset, FIND-kiristysohjelma noudattaa monivaiheista tartuntaprosessia, joka on suunniteltu maksimoimaan vaikutus ja pysyvyys. Kun haittaohjelma on aktiivinen järjestelmässä, se salaa tiedostot sekä paikallisilla että verkkoasemilla, kohdistaen kohteeksi laajan valikoiman tietotyyppejä ja jopa poistaen varjokopioita estääkseen helpon palautumisen.

Se myös peukaloi järjestelmäasetuksia poistamalla käytöstä Windowsin palomuurin, luomalla pysyvyyden tallentamalla kopioita itsestään %LOCALAPPDATA%-hakemistoon ja lisäämällä merkintöjä Run-rekisteriavaimiin. Lisäksi jotkin Dharma-pohjaiset variantit keräävät sijaintitietoja ja saattavat sulkea pois tiettyjä järjestelmäkansioita tai -asemia salauksesta, todennäköisesti toiminnallisista tai strategisista syistä.

Tartuntavektorit ja leviämiskanavat

FIND-kiristyshaittaohjelma leviää edeltäjiensä tavoin yhdistelmällä petollisia ja opportunistisia menetelmiä. Kyberrikolliset käyttävät tietojenkalastelukampanjoita, haitallisia liitteitä ja sähköposteihin upotettuja vilpillisiä linkkejä huijatakseen käyttäjiä aloittamaan tartunnan. Muita yleisiä levitystapoja ovat:

1. Ohilataukset vaarantuneilta tai haitallisilta verkkosivustoilta.
2. Asennus piraattiohjelmistojen, väärennettyjen päivitysten tai krakattujen sovellusten kautta.
3. Korjaamattomien ohjelmistohaavoittuvuuksien ja heikkojen etätyöpöytäprotokollan (RDP) kokoonpanojen hyödyntäminen.
4. Haitalliset mainokset, P2P-verkot ja tartunnan saaneet irrotettavat asemat (USB-muistitikut).

Asennuksen jälkeen FIND salaa kriittiset tiedot ja vaatii maksun, usein kryptovaluutassa, salausavaimen toimittamiseksi – vaikka ei ole takeita siitä, että maksu johtaa onnistuneeseen palautukseen.

Parhaat tietoturvakäytännöt suojautumiseen

Kiristyshaittaohjelmilta, kuten FIND:ltä, puolustautuminen vaatii monitasoisen ja ennakoivan lähestymistavan. Käyttäjät ja organisaatiot voivat merkittävästi vähentää tartuntariskiä toteuttamalla seuraavat olennaiset käytännöt:

1. Vahvista laitteen ja verkon tietoturvaa :

• Päivitä käyttöjärjestelmiä, selaimia ja ohjelmistoja säännöllisesti tunnettujen haavoittuvuuksien korjaamiseksi.
• Määritä palomuurit ja virustorjuntaohjelmat havaitsemaan ja estämään epäilyttäviä toimintoja.
• Poista RDP-käyttöoikeus käytöstä, jos sitä ei tarvita, tai rajoita sitä vahvoilla salasanoilla, monivaiheisella todennuksella ja IP-osoitteiden valkolistauksella.

2. Harjoittele turvallista selaamista ja sähköpostin käyttöä :

• Vältä avaamasta pyytämättömiä liitteitä tai klikkaamasta tuntemattomilta lähettäjiltä tulevia linkkejä.
• Lataa ohjelmistoja vain luotettavista lähteistä ja vältä torrentteja tai krakattuja ohjelmia.
• Ole varovainen vastatessasi odottamattomiin kiireellisiin viesteihin tai tietoturvahälytyksiin.

3. Pidä luotettavat varmuuskopiot yllä :

• Pidä offline- tai pilvipohjaisia varmuuskopioita tärkeistä tiedoista.

• Varmista, että varmuuskopiolaitteet on irrotettu käytön jälkeen, jotta estetään salaus hyökkäyksen aikana.

4. Kouluttaudu ja valmistaudu :

• Kouluta kaikkia käyttäjiä tunnistamaan tietojenkalasteluyritykset ja haitallinen toiminta.
• Laadi häiriötilanteisiin reagointisuunnitelma, jossa esitetään selkeät vaiheet tartunnan saaneiden järjestelmien eristämiseksi ja toiminnan palauttamiseksi.

Loppuajatukset

FIND-kiristysohjelmat edustavat jälleen yhtä kehitysaskelta itsepintaisessa ja tuhoisassa Dharma-haittaohjelmien perheessä. Salaamalla arvokasta tietoa, peukaloimalla suojausasetuksia ja hyödyntämällä psykologista painetta kiristysviestien avulla tämä haittaohjelma aiheuttaa vakavan uhan sekä yksilöille että organisaatioille.

Vahvan kyberturvallisuushygienian ylläpitäminen, valppaana pysyminen epäilyttävän verkkotoiminnan varalta ja säännöllisten tietojen varmuuskopiointi ovat edelleen tehokkaimpia puolustuskeinoja tällaisia kiristyshaittaohjelmia vastaan.