FIND Ransomware

Ochrona urządzeń przed złośliwym oprogramowaniem stała się koniecznością, a nie wyborem. Cyberprzestępcy nieustannie udoskonalają swoje taktyki, tworząc coraz bardziej złożone odmiany ransomware, zaprojektowane tak, aby wykorzystywać nawet drobne luki w zabezpieczeniach. FIND Ransomware, niedawno odkryty wariant z niesławnej rodziny Dharma, jest przykładem wyrafinowania i uporczywości współczesnych operacji ransomware.

Wewnątrz ataku ransomware FIND

FIND Ransomware działa z tą samą bezwzględną skutecznością, która uczyniła Dharmę jedną z najaktywniejszych rodzin ransomware. Po uruchomieniu złośliwe oprogramowanie rozpoczyna szyfrowanie plików ofiary, uniemożliwiając do nich dostęp. W tym procesie zmienia nazwę każdego pliku, dodając unikalny identyfikator ofiary, adres e-mail kontrolowany przez atakującego oraz rozszerzenie „.FIND” — na przykład zmieniając nazwę „1.png” na „1.png.id-9ECFA84E.[findourtxt@tuta.io
].FIND.' Inna zaobserwowana odmiana tego zagrożenia wykorzystuje rozszerzenie '. FIND5'.

Po zaszyfrowaniu ransomware przesyła żądania dwoma kanałami — wyskakującym komunikatem i plikiem z żądaniem okupu o nazwie „info.txt”. W notatce ofiary są informowane, że ich pliki zostały zaszyfrowane i proszone o kontakt z atakującymi za pośrednictwem jednego z dwóch adresów e-mail — „findourtxt@tuta.io” lub „findourtxt@mailum.com” — przy użyciu przypisanego im identyfikatora.

W liście z żądaniem okupu twierdzi się również, że część danych ofiary została wykradziona i ostrzega, że niezastosowanie się do tego żądania spowoduje sprzedaż lub udostępnienie skradzionych informacji osobom trzecim. Odradza się również zmianę nazw plików lub próby odszyfrowania danych za pomocą narzędzi firm trzecich, twierdząc, że takie działania mogą prowadzić do trwałej utraty danych lub wyższych żądań okupu.

Jak działa FIND Ransomware

Podobnie jak inne warianty Dharmy, FIND Ransomware stosuje wieloetapowy proces infekcji, zaprojektowany w celu maksymalizacji wpływu i trwałości. Po aktywacji w systemie, złośliwe oprogramowanie szyfruje pliki na dyskach lokalnych i sieciowych, atakując szeroki zakres typów danych, a nawet usuwając kopie woluminów w tle, aby uniemożliwić łatwe odzyskanie.

Ingeruje również w ustawienia systemowe, wyłączając Zaporę systemu Windows, tworząc trwałe kopie swoich danych w katalogu %LOCALAPPDATA% i dodając wpisy w kluczach rejestru Run. Ponadto niektóre warianty oparte na Dharmie zbierają dane o lokalizacji i mogą wykluczać określone foldery lub dyski systemowe z szyfrowania, prawdopodobnie ze względów operacyjnych lub strategicznych.

Wektory infekcji i kanały dystrybucji

FIND Ransomware, podobnie jak jego poprzednicy, rozprzestrzenia się za pomocą kombinacji metod oszukańczych i oportunistycznych. Cyberprzestępcy wykorzystują kampanie phishingowe, złośliwe załączniki i fałszywe linki osadzone w wiadomościach e-mail, aby nakłonić użytkowników do zainicjowania infekcji. Inne popularne metody dystrybucji obejmują:

1. Pobieranie plików bez wiedzy użytkownika z zainfekowanych lub złośliwych witryn internetowych.
2. Instalacja za pomocą pirackiego oprogramowania, fałszywych aktualizacji lub zhakowanych aplikacji.
3. Wykorzystanie niezałatanych luk w zabezpieczeniach oprogramowania i słabych konfiguracji protokołu RDP (Remote Desktop Protocol).
4. Złośliwe reklamy, sieci P2P i zainfekowane dyski wymienne (USB).

Po zainstalowaniu FIND szyfruje krytyczne dane i żąda zapłaty, często w kryptowalucie, za udostępnienie klucza deszyfrującego. Nie ma jednak gwarancji, że zapłata doprowadzi do pomyślnego odzyskania danych.

Najlepsze praktyki bezpieczeństwa zapewniające ochronę

Obrona przed ransomware, takim jak FIND, wymaga wielowarstwowego i proaktywnego podejścia. Użytkownicy i organizacje mogą znacznie zmniejszyć ryzyko infekcji, wdrażając następujące podstawowe praktyki:

1. Wzmocnij bezpieczeństwo urządzeń i sieci :

• Regularnie aktualizuj systemy operacyjne, przeglądarki i oprogramowanie, aby łatać znane luki w zabezpieczeniach.
• Skonfiguruj zapory sieciowe i narzędzia antywirusowe w celu wykrywania i blokowania podejrzanych działań.
• Wyłącz dostęp RDP, jeśli nie jest potrzebny lub ogranicz go, stosując silne hasła, uwierzytelnianie wieloskładnikowe i białą listę adresów IP.

2. Praktykuj bezpieczne przeglądanie stron internetowych i korzystanie z poczty e-mail :

• Unikaj otwierania niechcianych załączników i klikania linków pochodzących od nieznanych nadawców.
• Pobieraj oprogramowanie tylko ze sprawdzonych źródeł i unikaj torrentów i pirackich programów.
• Należy zachować ostrożność reagując na nieoczekiwane wiadomości „pilne” lub „ostrzeżenia bezpieczeństwa”.

3. Utrzymuj niezawodne kopie zapasowe :

• Zachowaj kopie zapasowe najważniejszych danych w trybie offline lub w chmurze.

• Upewnij się, że urządzenia zapasowe są odłączane po użyciu, aby zapobiec szyfrowaniu podczas ataku.

4. Kształć i przygotowuj :

• Przeszkol wszystkich użytkowników w zakresie rozpoznawania prób phishingu i zachowań złośliwych.
• Opracuj plan reagowania na incydenty, określający jasne kroki mające na celu odizolowanie zainfekowanych systemów i przywrócenie działania.

Ostatnie myśli

FIND Ransomware to kolejna ewolucja w uporczywej i destrukcyjnej rodzinie Dharma. Szyfrując cenne dane, manipulując ustawieniami zabezpieczeń i wykorzystując presję psychologiczną za pomocą żądań okupu, ten złośliwy program stanowi poważne zagrożenie zarówno dla osób fizycznych, jak i organizacji.

Najskuteczniejszymi metodami obrony przed zagrożeniami typu ransomware pozostają zachowanie wysokich standardów cyberbezpieczeństwa, zachowanie czujności na podejrzaną aktywność w sieci i regularne tworzenie kopii zapasowych danych.