Cortizol Ransomware

Skala i złożoność infekcji złośliwym oprogramowaniem stale rośnie, co sprawia, że dla użytkowników i organizacji niezwykle ważne jest utrzymanie silnej obrony na wszystkich urządzeniach. W szczególności ransomware stanowi poważne zagrożenie, ponieważ nie tylko narusza poufność danych, ale także zakłóca ich dostępność, blokując użytkownikom dostęp do własnych plików. Jednym z niedawno przeanalizowanych zagrożeń, które ilustruje te zagrożenia, jest Cortizol Ransomware, wyrafinowany szczep złośliwego oprogramowania szyfrującego pliki, zaprojektowany w celu wyłudzania od ofiar okupu poprzez zastraszanie i manipulację techniczną.

Cortizol Ransomware: przemyślany schemat szyfrowania

Oprogramowanie ransomware Cortizol zostało zidentyfikowane podczas szczegółowych badań złośliwego oprogramowania przeprowadzonych przez badaczy bezpieczeństwa informacji. Po uruchomieniu w systemie, ransomware szyfruje pliki i zmienia ich nazwy w charakterystyczny sposób. Każdy zaszyfrowany plik otrzymuje dołączony identyfikator ofiary, kontaktowy adres e-mail oraz rozszerzenie „.Cortizol”. Na przykład, plik pierwotnie o nazwie „1.png” został przemianowany na „1.png-id-6640599815[cortizol@atomicmail.io].Cortizol”, a „2.pdf” na „2.pdf-id-6640599815[cortizol@atomicmail.io].Cortizol”.

Ta konwencja zmiany nazw służy dwóm celom: jasno sygnalizuje, że pliki zostały wzięte jako zakładnicy, oraz osadza dane identyfikacyjne, które atakujący wykorzystują do śledzenia ofiar. Oprócz szyfrowania plików, Cortizol modyfikuje tapetę pulpitu, aby zwiększyć widoczność ataku, i umieszcza żądanie okupu zatytułowane „HOW_TO_RECOVER.txt”, dzięki czemu ofiara nie może zignorować incydentu.

List z żądaniem okupu i presja psychologiczna

W liście okupu twierdzono, że wszystkie pliki w zainfekowanym systemie zostały zaszyfrowane i że odszyfrowanie jest niemożliwe bez unikalnego klucza prywatnego posiadanego przez atakujących. Ofiary ostrzegano, że każda próba użycia zewnętrznych narzędzi do odszyfrowywania lub zmiany nazw zaszyfrowanych plików spowoduje trwałe uszkodzenie danych. Takie ostrzeżenia są powszechną taktyką psychologiczną mającą na celu zniechęcenie do samodzielnych prób odzyskania danych.

Cortizol instruuje ofiary, aby zlokalizowały plik o nazwie „key.Cortizol”, rzekomo przechowywany w katalogu „C:\ProgramData \” lub na innych dyskach, i przesłały go atakującym. W notatce ostrzega się również przed ponowną instalacją lub modyfikacją systemu operacyjnego Windows bez zachowania tego pliku klucza, co grozi nieodwracalną utratą danych, jeśli instrukcje nie zostaną dokładnie wykonane. Kanały komunikacji obejmują adres e-mail cortizol@atomicmail.io
oraz konto w Telegramie zidentyfikowane jako Cortizol2025. Takie podejście do kontaktu wielokanałowego zwiększa prawdopodobieństwo, że ofiary podporządkują się.

Chociaż atakujący twierdzą, że zakup klucza prywatnego to jedyny sposób na przywrócenie dostępu, doświadczenie w dziedzinie cyberbezpieczeństwa konsekwentnie pokazuje, że zapłacenie okupu nie daje gwarancji odzyskania plików. Cyberprzestępcy mogą nie dostarczyć działającego narzędzia deszyfrującego lub po prostu przerwać komunikację po dokonaniu płatności.

Wektory infekcji i techniki przenoszenia

Cortizol Ransomware rozprzestrzenia się za pomocą różnych, sprawdzonych metod dystrybucji. E-maile phishingowe pozostają jednym z najskuteczniejszych mechanizmów dystrybucji, często zawierają złośliwe załączniki lub osadzone linki, które uruchamiają pobieranie szkodliwego oprogramowania. Fałszywe programy pomocy technicznej i taktyki socjotechniczne dodatkowo zwiększają prawdopodobieństwo interakcji użytkownika.

Aktorzy zagrożeń rozpowszechniają również ransomware za pośrednictwem pirackiego oprogramowania, cracków i generatorów kluczy uzyskanych z nieoficjalnych sieci wymiany plików peer-to-peer. Dodatkowe punkty wejścia stanowią zainfekowane strony internetowe, zwodnicze reklamy, zainfekowane dyski USB oraz wykorzystywanie luk w zabezpieczeniach przestarzałego oprogramowania. Szkodliwy ładunek jest zazwyczaj ukryty w plikach wykonywalnych, skryptach, skompresowanych archiwach, takich jak pliki ZIP lub RAR, lub pozornie legalnych dokumentach, takich jak pliki Word, Excel i PDF. To połączenie złośliwego kodu ze znanymi formatami zwiększa skuteczność infekcji.

Wpływ i ryzyko po zakażeniu

Po aktywacji Cortizol nie tylko szyfruje dostępne pliki, ale może również kontynuować skanowanie w poszukiwaniu dodatkowych danych, które mogłyby zostać naruszone. Jeśli ransomware nie zostanie usunięty, może rozprzestrzeniać się między połączonymi systemami w tej samej sieci, potęgując zakłócenia operacyjne i straty finansowe. Im dłużej złośliwe oprogramowanie pozostaje na urządzeniu, tym większe ryzyko rozszerzonego szyfrowania i potencjalnego wdrożenia dodatkowego ładunku.

Odzyskanie danych bez klucza prywatnego atakującego jest zazwyczaj niemożliwe, chyba że istnieją bezpieczne, nienaruszone kopie zapasowe. Z tego powodu organizacje i użytkownicy indywidualni posiadający niezawodne kopie zapasowe offline lub w chmurze są znacznie lepiej przygotowani do przywracania danych bez narażania się na żądania wymuszeń.

Wzmocnienie obrony przed oprogramowaniem ransomware

Skuteczna obrona przed zagrożeniami takimi jak Cortizol wymaga wielowarstwowego podejścia do bezpieczeństwa, łączącego zabezpieczenia techniczne ze świadomością użytkownika. Poniższe praktyki znacznie zmniejszają narażenie na infekcje ransomware:

• Regularnie twórz automatyczne kopie zapasowe, które będą przechowywane w trybie offline lub w bezpiecznych środowiskach chmurowych, odizolowanych od systemu głównego.
• Aktualizuj systemy operacyjne, aplikacje i oprogramowanie zabezpieczające, aby łatać znane luki w zabezpieczeniach.
• Korzystaj z renomowanych rozwiązań do ochrony punktów końcowych, które potrafią wykrywać wzorce zachowań oprogramowania ransomware.
• Unikaj pobierania pirackiego oprogramowania i plików z nieoficjalnych źródeł i sieci peer-to-peer.
• Należy zachować ostrożność podczas obsługi załączników do wiadomości e-mail i klikania łączy, zwłaszcza pochodzących od nieznanych lub nieoczekiwanych nadawców.
• Wyłącz makra w dokumentach pakietu Office, chyba że są absolutnie konieczne i potwierdzone jako bezpieczne.

Oprócz tych środków, szybkie usunięcie wykrytego oprogramowania ransomware jest kluczowe, aby zapobiec dalszemu szyfrowaniu plików lub rozprzestrzenianiu się infekcji w sieci. Procedury reagowania na incydenty powinny obejmować odizolowanie zainfekowanego systemu od sieci, przeprowadzenie dokładnego skanowania w poszukiwaniu złośliwego oprogramowania oraz przywrócenie czystych danych z kopii zapasowych, jeśli są dostępne.

Cortizol Ransomware ilustruje, jak współczesne ransomware łączy techniczne mechanizmy szyfrowania z socjotechniką i presją psychologiczną. Proaktywne praktyki bezpieczeństwa w połączeniu z niezawodnymi strategiami tworzenia kopii zapasowych danych pozostają najskuteczniejszymi środkami zaradczymi przeciwko tak ewoluującym cyberzagrożeniom.