FIND Ransomware

Zaščita vaših naprav pred zlonamerno programsko opremo je postala nuja in ne izbira. Kibernetski kriminalci nenehno razvijajo svoje taktike in ustvarjajo vse bolj zapletene vrste izsiljevalske programske opreme, namenjene izkoriščanju celo manjših varnostnih pomanjkljivosti. Izsiljevalska programska oprema FIND, nedavno odkrita različica iz zloglasne družine Dharma, ponazarja prefinjenost in vztrajnost sodobnih operacij izsiljevalske programske opreme.

Znotraj napada izsiljevalske programske opreme FIND

Izsiljevalska programska oprema FIND deluje z enako neusmiljeno učinkovitostjo, zaradi katere je Dharma postala ena najbolj aktivnih družin izsiljevalske programske opreme. Po zagonu začne zlonamerna programska oprema šifrirati datoteke žrtve, zaradi česar so nedostopne. Med tem preimenuje vsako datoteko tako, da ji doda edinstven ID žrtve, e-poštni naslov, ki ga nadzoruje napadalec, in končnico '.FIND' – na primer, '1.png' preimenuje v '1.png.id-9ECFA84E.[findourtxt@tuta.io
].FIND.« Druga opažena različica te grožnje namesto tega uporablja končnico ».FIND5«.

Po šifriranju izsiljevalska programska oprema svoje zahteve posreduje prek dveh kanalov – pojavnega sporočila in datoteke z zahtevo za odkupnino z naslovom »info.txt«. Obvestilo žrtve obvesti, da so bile njihove datoteke šifrirane, in jim naroči, naj se z napadalci obrnejo prek enega od dveh e-poštnih naslovov – »findourtxt@tuta.io« ali »findourtxt@mailum.com« – z uporabo dodeljenega ID-ja.

V obvestilu o odkupnini se nadalje trdi, da so bili nekateri podatki žrtve ukradeni, in opozarja, da bodo v primeru neupoštevanja ukradeni podatki prodani ali deljeni s tretjimi osebami. Žrtve tudi odvrača od preimenovanja datotek ali poskusov dešifriranja podatkov z orodji tretjih oseb, saj naj bi takšna dejanja povzročila trajno izgubo podatkov ali višje zahteve za odkupnino.

Kako deluje izsiljevalska programska oprema FIND

Tako kot druge različice Dharme tudi izsiljevalska programska oprema FIND sledi večstopenjskemu procesu okužbe, zasnovanemu za maksimiranje učinka in trajnosti. Ko je aktivna v sistemu, zlonamerna programska oprema šifrira datoteke na lokalnih in omrežnih pogonih, pri čemer cilja na širok nabor vrst podatkov in celo briše senčne kopije nosilca podatkov, da prepreči enostavno obnovitev.

Prav tako spreminja sistemske nastavitve tako, da onemogoči požarni zid sistema Windows, vzpostavi obstojnost z namestitvijo svojih kopij v imenik %LOCALAPPDATA% in doda vnose v ključe registra Run. Poleg tega nekatere različice, ki temeljijo na Dharmi, zbirajo podatke o lokaciji in lahko iz šifriranja izključijo določene sistemske mape ali pogone, verjetno zaradi operativnih ali strateških razlogov.

Prenašalci okužb in distribucijski kanali

Izsiljevalska programska oprema FIND se, tako kot njeni predhodniki, širi s kombinacijo zavajajočih in oportunističnih metod. Kibernetski kriminalci uporabljajo kampanje lažnega predstavljanja, zlonamerne priloge in goljufive povezave, vdelane v e-poštna sporočila, da bi uporabnike zavedli do okužbe. Druge pogoste metode distribucije vključujejo:

1. Prenosi iz ogroženih ali zlonamernih spletnih mest prek sistema Drive-by.
2. Namestitev prek piratske programske opreme, lažnih posodobitev ali razpokanih aplikacij.
3. Izkoriščanje nepopravljenih ranljivosti programske opreme in šibkih konfiguracij protokola RDP (Remote Desktop Protocol).
4. Zlonamerni oglasi, omrežja P2P in okuženi izmenljivi pogoni (USB).

Ko je FIND nameščen, šifrira kritične podatke in zahteva plačilo, pogosto v kriptovaluti, za zagotovitev ključa za dešifriranje – čeprav ni nobenega zagotovila, da bo plačilo vodilo do uspešne obnovitve.

Najboljše varnostne prakse za zaščito

Zaščita pred izsiljevalsko programsko opremo, kot je FIND, zahteva večplasten in proaktiven pristop. Uporabniki in organizacije lahko znatno zmanjšajo tveganje okužbe z uvedbo naslednjih bistvenih praks:

1. Okrepite varnost naprav in omrežja :

• Redno posodabljajte operacijske sisteme, brskalnike in programsko opremo, da odpravite znane ranljivosti.
• Konfigurirajte požarne zidove in protivirusna orodja za zaznavanje in blokiranje sumljivih dejavnosti.
• Onemogočite dostop RDP, če ga ne potrebujete, ali ga omejite z močnimi gesli, večfaktorsko avtentikacijo in seznamom dovoljenih IP-naslovov.

2. Vadite varno brskanje in e-pošto :

• Izogibajte se odpiranju neželenih prilog ali klikanju povezav neznanih pošiljateljev.
• Programsko opremo prenašajte samo iz uglednih virov in se izogibajte torrentom ali programom, ki jih je mogoče prenesti na druge naprave.
• Pri odzivanju na nepričakovana sporočila »nujna« ali »varnostna opozorila« bodite previdni.

3. Vzdržujte zanesljive varnostne kopije :

• Hranite varnostne kopije bistvenih podatkov brez povezave ali v oblaku.

• Zagotovite, da so rezervne naprave po uporabi odklopljene, da preprečite šifriranje med napadom.

4. Izobraževanje in priprava :

• Usposobite vse uporabnike za prepoznavanje poskusov lažnega predstavljanja in zlonamernega vedenja.
• Razviti načrt za odzivanje na incidente, ki opisuje jasne korake za izolacijo okuženih sistemov in obnovitev delovanja.

Zaključne misli

FIND izsiljevalska programska oprema predstavlja še en razvoj v vztrajni in uničujoči družini Dharma. S šifriranjem dragocenih podatkov, spreminjanjem varnostnih nastavitev in izkoriščanjem psihološkega pritiska z zahtevami za odkupnino ta zlonamerna programska oprema predstavlja resno grožnjo tako posameznikom kot organizacijam.

Vzdrževanje močne kibernetske varnostne higiene, budnost pred sumljivimi spletnimi dejavnostmi in redno varnostno kopiranje podatkov ostajajo najučinkovitejša obramba pred takšnimi grožnjami izsiljevalske programske opreme.