End Ransomware

Įrenginių apsauga nuo kenkėjiškų programų yra labai svarbi tiek asmenų, tiek organizacijų atsakomybė. Šiuolaikinės išpirkos reikalaujančios programinės įrangos operacijos yra labai organizuotos, techniškai pažangios ir finansiškai motyvuotos. Viena sėkminga užkrėtimo priemonė gali sukelti didelį duomenų praradimą, veiklos sutrikimus, reputacijos žalą ir finansinę naštą. Viena iš tokių sudėtingų grėsmių yra „End Ransomware“ – atmaina, kuri demonstruoja besivystančią taktiką ir psichologinio spaudimo mechanizmus, būdingus šiandieninei kibernetinių nusikaltimų aplinkai.

Užbaikite išpirkos reikalaujančią programinę įrangą: „MedusaLocker“ variantas su agresyvia taktika

Išsami analizė parodė, kad „End Ransomware“ yra „MedusaLocker“ šeimos variantas. Saugumo tyrėjai šią grėsmę aptiko atlikdami aktyvių kenkėjiškų programų kampanijų, nukreiptų tiek į individualius vartotojus, tiek į įmonių aplinką, tyrimus.

Paleidus išpirkos reikalaujančią programą pažeistoje sistemoje, ji pradeda daugiapakopę ataką. Ji šifruoja failus naudodama RSA ir AES kriptografinių algoritmų derinį, užtikrindama, kad duomenys taptų nepasiekiami be užpuolikų iššifravimo rakto. Užšifruoti failai pridedami su plėtiniu „.end11“. Pavyzdžiui, „1.png“ pervadinamas į „1.png.end11“, o „2.pdf“ tampa „2.pdf.end11“. Ši modifikacija aiškiai rodo sėkmingą šifravimą ir neleidžia įprastai pasiekti failų.

Be failų šifravimo, išpirkos reikalaujanti programa pakeičia aukos darbalaukio foną ir pateikia išpirkos raštelį pavadinimu „HOW_TO_RECOVER_DATA.html“. Šie veiksmai skirti maksimaliam matomumui ir spaudimui užtikrinti, kad auka iš karto suprastų incidento rimtumą.

Išpirkos raštelis ir dvigubo turto prievartavimo strategija

Išpirkos raštelyje teigiama, kad failai buvo užšifruoti, bet nebuvo visam laikui sugadinti, o juos atkurti įmanoma tik su užpuolikų pagalba. Aukos įspėjamos nenaudoti trečiųjų šalių atkūrimo įrankių ir nebandyti pervadinti ar modifikuoti užšifruotų failų, nes tai gali padaryti negrįžtamą žalą.

Ypač nerimą keliantis „End Ransomware“ aspektas yra dvigubo turto prievartavimo taktikos naudojimas. Pranešime teigiama, kad konfidencialūs ir asmeniniai duomenys buvo išgauti ir saugomi užpuolikų kontroliuojamame privačiame serveryje. Pranešime teigiama, kad pavogti duomenys bus sunaikinti po apmokėjimo. Tačiau atsisakymas paklusti tariamai reiškia viešą informacijos paskelbimą arba pardavimą.

Aukos raginamos susisiekti su užpuolikais el. paštu „doctorhelperss@gmail.com“ arba „korona@bestkoronavirus.com“ ir gauti mokėjimo instrukcijas. Nustatomas griežtas 72 valandų terminas, po kurio, kaip teigiama, išpirkos suma padidėja. Toks dirbtinis skubėjimas yra įprasta psichologinė taktika, kuria siekiama sumažinti racionalų sprendimų priėmimą ir paspartinti mokėjimą.

Svarbu pabrėžti, kad išpirkos sumokėjimas negarantuoja duomenų atkūrimo. Užpuolikai gali nepateikti veikiančio iššifravimo įrankio, pareikalauti papildomų mokėjimų arba visiškai dingti gavę lėšų.

Patvarumas ir šoninė rizika

Palikus aktyvią išpirkos reikalaujančią programinę įrangą užkrėstoje sistemoje, rizika žymiai padidėja. Jei ji netinkamai pašalinama, kenkėjiška programa gali toliau šifruoti naujai sukurtus arba anksčiau nepaliestus failus. Tinklo aplinkoje ji taip pat gali bandyti judėti horizontaliai, plisdama į prijungtas sistemas ir bendrus saugyklos išteklius.

Todėl po aptikimo esminiai žingsniai yra izoliavimas ir naikinimas. Vien failų iššifravimas, jei įmanoma, nepašalinant kenkėjiškos informacijos, gali sukelti pakartotinį užkrėtimą ir papildomą žalą.

Dažni infekcijos vektoriai

Išpirkos reikalaujančios programos, kaip ir daugelis šiuolaikinių išpirkos reikalaujančių programų šeimų, naudoja kelis platinimo metodus, kad maksimaliai padidintų pasiekiamumą. Jie dažniausiai apima:

• Apgaulingi el. laiškai su kenkėjiškais priedais arba nuorodomis
• Neištaisytų programinės įrangos pažeidžiamumų išnaudojimas
• Netikros techninės pagalbos sukčiavimo aferos
• Piratinė programinė įranga, įsilaužimo įrankiai ir raktų generatoriai
• Lygiaverčių tinklų ir neoficialių atsisiuntimo platformų
• Kenkėjiškos reklamos ir pažeistos svetainės

Kenkėjiška programa dažnai paslėpta vykdomuosiuose failuose, scenarijuose, suspaustuose archyvuose arba dokumentų formatuose, tokiuose kaip „Word“, „Excel“ ar PDF failai. Atidarius programą arba po papildomos naudotojo sąveikos, pvz., įjungus makrokomandas, išpirkos reikalaujanti programa paleidžiama ir pradeda šifruoti duomenis.

Apsaugos stiprinimas: svarbiausios geriausios saugumo praktikos

Efektyviai apsaugai nuo išpirkos reikalaujančių programų, tokių kaip „End“, reikalinga daugiasluoksnė ir aktyvi saugumo strategija. Šios praktikos žymiai sumažina užkrato tikimybę ir poveikį:

• Reguliariai kurkite svarbių duomenų atsargines kopijas, kurios neperkeliamos į internetą ir yra nekeičiamos. Atsarginės kopijos turėtų būti saugomos atskirai nuo pagrindinio tinklo, kad išpirkos reikalaujanti programinė įranga jų neužšifruotų.
• Nedelsdami diegkite operacinių sistemų, programų ir programinės įrangos saugos pataisas ir programinės įrangos atnaujinimus, kad pašalintumėte pažeidžiamumus, kuriais galima pasinaudoti.
• Įdiekite patikimus, naujausius galinių įrenginių apsaugos sprendimus, galinčius aptikti išpirkos reikalaujančių programų elgseną ir blokuoti įtartiną veiklą.
• Pagal numatytuosius nustatymus išjunkite makrokomandas biuro programose ir apribokite neleistinų scenarijų vykdymą.

• Įdiekite griežtą prieigos kontrolę ir mažiausių privilegijų principą, kad apribotumėte vartotojų teises ir sumažintumėte horizontalių judėjimo galimybių.

• Naudokite daugiafaktorinį autentifikavimą nuotolinės prieigos paslaugoms ir administratoriaus paskyroms.

• Reguliariai rengkite kibernetinio saugumo mokymus, kad padėtumėte vartotojams atpažinti sukčiavimo el. laiškus, kenkėjiškus priedus ir socialinės inžinerijos bandymus.

• Stebėkite tinklo veiklą, ar nėra anomalijų, įskaitant neįprastus failų pakeitimus ar siunčiamus duomenų perdavimus.

Visapusiška saugumo sistema derina technines kontrolės priemones su naudotojų švietimu ir nuosekliu politikos vykdymu. Prevencija visada yra ekonomiškesnė ir patikimesnė nei atkūrimas po incidento.

Galutinis vertinimas

Išpirkos reikalaujanti programinė įranga „End Ransomware“ yra sudėtinga ir pavojinga „MedusaLocker“ šeimos grėsmė. Derindama stiprų šifravimą, duomenų nutekėjimą ir laiko pagrindu veikiančią spaudimo taktiką, ji yra šiuolaikinio išpirkos reikalaujančios programinės įrangos modelio, sukurto finansinio turto prievartavimo pagrindu, pavyzdys.

Organizacijos ir asmenys turi pripažinti, kad apsauga nuo išpirkos reikalaujančių programų yra ne vienas įrankis ar veiksmas, o nuolatinis procesas. Proaktyvi apsauga, greitas aptikimas ir drausmingas incidentų reagavimas išlieka veiksmingiausiomis strategijomis, siekiant sumažinti žalą ir užtikrinti veiklos atsparumą besikeičiančioms kibernetinėms grėsmėms.