Πώς να αντιμετωπίσετε το Ragnar Locker Ransomware (05.19.24)

Το Ransomware είναι ένα πολύ άσχημο κακόβουλο λογισμικό, επειδή οι εισβολείς απαιτούν από το θύμα να πληρώσει για τα σημαντικά του δεδομένα για να απελευθερωθούν από όμηρο. Το ransomware μολύνει κρυφά τη συσκευή του θύματος, κρυπτογραφεί τα σημαντικά δεδομένα (συμπεριλαμβανομένων των εφεδρικών αρχείων) και στη συνέχεια αφήνει οδηγίες σχετικά με το πόσο θα πρέπει να πληρωθούν τα λύτρα και πώς θα πρέπει να πληρωθεί. Μετά από όλες αυτές τις ταλαιπωρίες, το θύμα δεν έχει καμία εγγύηση ότι ο εισβολέας θα απελευθερώσει πραγματικά το κλειδί αποκρυπτογράφησης για να ξεκλειδώσει τα αρχεία. Και αν το κάνουν ποτέ, ορισμένα από τα αρχεία ενδέχεται να είναι κατεστραμμένα, καθιστώντας τα άχρηστα στο τέλος.

Με τα χρόνια, η χρήση του ransomware έχει αυξηθεί σε δημοτικότητα επειδή είναι ο πιο άμεσος τρόπος για να κερδίσουν χρήματα οι χάκερ. Απλώς πρέπει να αφήσουν το κακόβουλο λογισμικό και στη συνέχεια να περιμένουν τον χρήστη να στείλει χρήματα μέσω Bitcoin. Σύμφωνα με στοιχεία της Emsisoft, ο αριθμός των επιθέσεων ransomware το 2019 αυξήθηκε κατά 41% σε σχέση με το προηγούμενο έτος, επηρεάζοντας περίπου 1.000 οργανισμούς των ΗΠΑ. Η Cybersecurity Ventures προέβλεπε ακόμη και ότι το ransomware θα επιτεθεί σε επιχειρήσεις κάθε 11 δευτερόλεπτα.

Νωρίτερα φέτος, ο Ragnar Locker, ένα νέο στέλεχος κακόβουλου λογισμικού, επιτέθηκε στην Energias de Portugal (EDP), μια πορτογαλική εταιρεία ηλεκτρικών υπηρεσιών, με έδρα τη Λισαβόνα . Οι επιτιθέμενοι απαίτησαν 1.580 bitcoin ως λύτρα, το οποίο ισοδυναμεί με περίπου 11 εκατομμύρια δολάρια.

Τι είναι το Ragnar Locker Ransomware;

Το Ragnar Locker είναι ένας τύπος κακόβουλου λογισμικού ransomware που δημιουργήθηκε όχι μόνο για την κρυπτογράφηση δεδομένων, αλλά και για τη θανάτωση εγκατεστημένων εφαρμογών, όπως το ConnectWise και το Kaseya, που χρησιμοποιούνται συνήθως από διαχειριζόμενους παρόχους υπηρεσιών και πολλές υπηρεσίες των Windows. Το Ragnar Locker μετονομάζει τα κρυπτογραφημένα αρχεία προσθέτοντας μια μοναδική επέκταση που αποτελείται από τη λέξη ragnar ακολουθούμενη από μια σειρά τυχαίων αριθμών και χαρακτήρων. Για παράδειγμα, ένα αρχείο με το όνομα A.jpg θα μετονομαστεί σε A.jpg.ragnar_0DE48AAB.

Μετά την κρυπτογράφηση των αρχείων, στη συνέχεια δημιουργεί ένα μήνυμα λύτρων χρησιμοποιώντας ένα αρχείο κειμένου, με την ίδια μορφή ονόματος με με το παραπάνω παράδειγμα. Το μήνυμα λύτρων θα μπορούσε να ονομάζεται RGNR_0DE48AAB.txt.

Αυτό το ransomware εκτελείται μόνο σε υπολογιστές Windows, αλλά δεν είναι ακόμα σίγουρο εάν οι συντάκτες αυτού του κακόβουλου λογισμικού έχουν σχεδιάσει επίσης μια έκδοση Mac του Ragnar Locker Στοχεύει συνήθως τις διαδικασίες και τις εφαρμογές που χρησιμοποιούνται συνήθως από τους διαχειριζόμενους παρόχους υπηρεσιών για να αποτρέψει την ανίχνευσή τους και να σταματήσει. Το Ragnar Locker απευθύνεται μόνο σε αγγλόφωνους χρήστες.

Το Ragnar Locker ransomware εντοπίστηκε για πρώτη φορά στα τέλη Δεκεμβρίου 2019, όταν χρησιμοποιήθηκε ως μέρος επιθέσεων εναντίον παραβιασμένων δικτύων. Σύμφωνα με ειδικούς ασφαλείας, η επίθεση Ragnar Locker στον ευρωπαϊκό ενεργειακό γίγαντα ήταν μια καλά μελετημένη και καλά σχεδιασμένη επίθεση.

Ακολουθεί ένα παράδειγμα του μηνύματος λύτρων Ragnar Locker:

Γεια σας!

********************

Εάν διαβάζετε αυτό το μήνυμα, τότε το δίκτυό σας ΔΕΝΤΡΕΤΑΙ και όλα τα αρχεία σας και τα δεδομένα ΕΓΓΡΑΦΗσαν

από το RAGNAR_LOCKER!

********************

********* Τι συμβαίνει με το σύστημά σας; * ***********

Το δίκτυό σας διεισδύθηκε, όλα τα αρχεία και τα αντίγραφα ασφαλείας σας ήταν κλειδωμένα! Έτσι από τώρα δεν υπάρχει κανένας που μπορεί να σας βοηθήσει να επιστρέψετε τα αρχεία σας, ΕΚΤΟΣ ΑΠΟ ΜΑΣ.

Μπορείτε να το κάνετε google, δεν υπάρχει πιθανότητα αποκρυπτογράφησης δεδομένων χωρίς το ΚΛΕΙΔΙ ΜΥΣΤΙΚΟΥ.

Αλλά μην ανησυχείτε! Τα αρχεία σας ΔΕΝ ΕΛΑΧΙΣΤΟΥΝ ΚΑΙ ΧΑΝΟΥΜΕ, απλά τροποποιήθηκαν. Μπορείτε να το επιστρέψετε μόλις πληρώσετε.

Ψάχνουμε μόνο για ΧΡΗΜΑΤΑ, οπότε δεν μας ενδιαφέρει να κατασκευάσουμε ή να διαγράψουμε τις πληροφορίες σας, είναι απλώς μια ΕΠΙΧΕΙΡΗΣΗ $ -)

Ωστόσο, μπορείτε μόνοι σας να καταστρέψετε τα ΔΕΔΟΜΕΝΑ σας αν προσπαθήσετε να ΑΠΟΚΑΛΥΨΕΤΕ με οποιοδήποτε άλλο λογισμικό, χωρίς το ΕΙΔΙΚΟ ΚΛΕΙΔΙ ΜΑΣ ΠΕΡΙΓΡΑΦΗ !!!

Επίσης, συγκεντρώθηκαν όλες οι ευαίσθητες και προσωπικές σας πληροφορίες και αν αποφασίσετε να ΜΗΝ πληρώσετε,

θα τα ανεβάσουμε για δημόσια προβολή!

****

*********** Πώς να επιστρέψετε τα αρχεία σας; ******

Προς αποκρυπτογραφήστε όλα τα αρχεία και τα δεδομένα σας που πρέπει να πληρώσετε για την κρυπτογράφηση KEY:

BTC πορτοφόλι για πληρωμή: *

Ποσό πληρωμής (σε Bitcoin): 25

****

*********** Πόσος χρόνος πρέπει να πληρώσετε; **********

* Θα πρέπει να έρθετε σε επαφή μαζί μας εντός 2 ημερών από τη στιγμή που παρατηρήσατε την κρυπτογράφηση για να λάβετε μια καλύτερη τιμή.

* Η τιμή θα αυξηθεί κατά 100% (διπλή τιμή) μετά από 14 ημέρες, εάν δεν γίνει επαφή.

* Το κλειδί θα διαγραφεί εντελώς σε 21 ημέρες εάν δεν έχει γίνει επαφή ή δεν έχει γίνει συμφωνία.

Ορισμένες ευαίσθητες πληροφορίες που έχουν κλαπεί από τους διακομιστές αρχείων θα μεταφορτώνονταν δημόσια ή σε εκ νέου πωλητής.

****

*********** Τι γίνεται αν δεν είναι δυνατή η επαναφορά αρχείων; ******

Για να αποδείξουμε ότι μπορούμε πραγματικά να αποκρυπτογραφήσουμε τα δεδομένα σας, θα αποκρυπτογραφήσουμε ένα από τα κλειδωμένα αρχεία σας!

Απλώς στείλτε το σε εμάς και θα το λάβετε ΔΩΡΕΑΝ.

Η τιμή για τον αποκρυπτογράφο βασίζεται στο μέγεθος του δικτύου, τον αριθμό των υπαλλήλων, τα ετήσια έσοδα.

Μη διστάσετε να επικοινωνήσετε μαζί μας για το ποσό BTC που πρέπει να πληρωθεί.

****

! ΕΑΝ δεν ξέρετε πώς να αποκτήσετε bitcoin, θα σας συμβουλέψουμε πώς να ανταλλάξετε τα χρήματα.

!!!!!!!!!!!!!

! ΕΔΩ ΕΙΝΑΙ ΤΟ ΑΠΛΟ ΕΓΧΕΙΡΙΔΙΟ ΠΩΣ ΝΑ ΠΑΡΕΤΕ ΣΥΝΔΕΣΗ ΜΕ ΜΑΣ!

!!!!!!!!!!!!!

1) Μεταβείτε στον επίσημο ιστότοπο του TOX messenger (hxxps: //tox.chat/download.html)

2) Λήψη και εγκατάσταση του qTOX στον υπολογιστή σας, επιλέξτε την πλατφόρμα (Windows, OS X, Linux κ.λπ.)

3) Ανοίξτε το messenger, κάντε κλικ στο "Νέο προφίλ" και δημιουργήστε προφίλ.

4) Κάντε κλικ στο κουμπί "Προσθήκη φίλων" και αναζητήστε την επαφή μας *

5) Για αναγνώριση, στείλτε στα δεδομένα υποστήριξής μας από —RAGNAR SECRET—

ΣΗΜΑΝΤΙΚΟ ! ΕΑΝ για ορισμένους λόγους δεν μπορείτε να επικοινωνήσετε μαζί μας στο qTOX, εδώ είναι το αποθεματικό γραμματοκιβώτιό μας (*) να στείλετε ένα μήνυμα με δεδομένα από —RAGNAR SECRET—

ΠΡΟΕΙΔΟΠΟΙΗΣΗ!

-Μην προσπαθείτε να αποκρυπτογραφήσετε αρχεία με οποιοδήποτε λογισμικό τρίτου μέρους (θα καταστραφεί μόνιμα)

-Μην επανεγκαταστήσετε το λειτουργικό σας σύστημα, αυτό μπορεί να οδηγήσει σε πλήρη απώλεια δεδομένων και αρχεία δεν μπορεί να αποκρυπτογραφηθεί. ΠΟΤΕ!

-Το ΜΥΣΤΙΚΟ ΚΛΕΙΔΙ για αποκρυπτογράφηση βρίσκεται στον διακομιστή μας, αλλά δεν θα αποθηκευτεί για πάντα. ΜΗΝ ΣΠΑΤΑΛΑΣ ΧΡΟΝΟ !

********************

—RAGNAR SECRET—

*

—RAGNAR SECRET—

********************

Τι κάνει το Ragnar Locker;

Το Ragnar Locker παραδίδεται συνήθως μέσω εργαλείων MSP όπως το ConnectWise, όπου οι εγκληματίες του κυβερνοχώρου ρίχνουν ένα εξαιρετικά στοχευόμενο εκτελέσιμο αρχείο ransomware. Αυτή η τεχνική διάδοσης έχει χρησιμοποιηθεί από προηγούμενα εξαιρετικά κακόβουλα ransomware, όπως το Sodinokibi. Όταν συμβαίνει αυτό το είδος επίθεσης, οι συγγραφείς του ransomware διεισδύουν σε οργανισμούς ή εγκαταστάσεις μέσω μη ασφαλών ή άσχημα ασφαλών συνδέσεων RDP. Στη συνέχεια, χρησιμοποιεί εργαλεία για την αποστολή σεναρίων Powershell σε όλα τα προσβάσιμα τελικά σημεία. Στη συνέχεια, τα σενάρια κατεβάζουν ένα ωφέλιμο φορτίο μέσω του Pastebin που έχει σχεδιαστεί για την εκτέλεση του ransomware και την κρυπτογράφηση των τελικών σημείων. Σε ορισμένες περιπτώσεις, το ωφέλιμο φορτίο έρχεται με τη μορφή εκτελέσιμου αρχείου που εκκινείται ως μέρος μιας επίθεσης που βασίζεται σε αρχεία. Υπάρχουν επίσης περιπτώσεις κατά τις οποίες γίνεται λήψη άλλων σεναρίων ως μέρος μιας επίθεσης εντελώς χωρίς αρχεία.

Το Ragnar Locker στοχεύει ειδικά λογισμικό που εκτελείται συνήθως από διαχειριζόμενους παρόχους υπηρεσιών, συμπεριλαμβανομένων των ακόλουθων συμβολοσειρών:

  • vss
  • sql
  • memtas
  • mepocs
  • sophos
  • veeam
  • backup
  • pulseway
  • logme
  • logmein
  • connectwise
  • splashtop
  • kaseya

Το ransomware κλέβει πρώτα τα αρχεία ενός στόχου και το ανεβάζει στους διακομιστές τους. Αυτό που είναι μοναδικό για το Ragnar Locker είναι ότι δεν κρυπτογραφούν απλά τα αρχεία αλλά απειλούν επίσης το θύμα ότι τα δεδομένα θα κυκλοφορήσουν δημόσια εάν δεν έχουν πληρωθεί τα λύτρα, όπως στην περίπτωση του EDP. Με το EDP, οι εισβολείς απείλησαν να απελευθερώσουν τα υποτιθέμενα 10 TB κλεμμένων δεδομένων, τα οποία θα μπορούσαν να είναι μια από τις μεγαλύτερες διαρροές δεδομένων στην ιστορία. Οι επιτιθέμενοι ισχυρίστηκαν ότι όλοι οι συνεργάτες, οι πελάτες και οι ανταγωνιστές θα ενημερωθούν για την παραβίαση και ότι τα δεδομένα που διέρρευσαν θα αποσταλούν σε ειδήσεις ειδήσεων και μέσων για δημόσια κατανάλωση. Παρόλο που ο εκπρόσωπος της EDP ανακοίνωσε ότι η επίθεση δεν είχε αντίκτυπο στην υπηρεσία ισχύος και την υποδομή του βοηθητικού προγράμματος, η διαφαινόμενη παραβίαση δεδομένων είναι κάτι που ανησυχούν.

Η απενεργοποίηση υπηρεσιών και οι διαδικασίες τερματισμού είναι κοινές τακτικές που χρησιμοποιούνται από κακόβουλο λογισμικό για την απενεργοποίηση προγραμμάτων ασφαλείας, συστημάτων δημιουργίας αντιγράφων ασφαλείας, βάσεων δεδομένων και διακομιστών αλληλογραφίας. Μόλις τερματιστούν αυτά τα προγράμματα, τα δεδομένα τους μπορούν στη συνέχεια να κρυπτογραφηθούν.

Όταν ξεκίνησε για πρώτη φορά, το Ragnar Locker θα σαρώσει τις διαμορφωμένες προτιμήσεις γλώσσας των Windows. Εάν η προτίμηση γλώσσας είναι Αγγλικά, το κακόβουλο λογισμικό θα συνεχίσει με το επόμενο βήμα. Αλλά αν ο Ragnar Locker εντοπίσει ότι η γλώσσα έχει οριστεί ως μία από τις πρώην χώρες της ΕΣΣΔ, το κακόβουλο λογισμικό θα τερματίσει τη διαδικασία και δεν θα κρυπτογραφήσει τον υπολογιστή. το ransomware από την εκτέλεση. Μόλις μέσα, το κακόβουλο λογισμικό ξεκινά τη διαδικασία κρυπτογράφησης. Χρησιμοποιεί ένα ενσωματωμένο κλειδί RSA-2048 για την κρυπτογράφηση των σημαντικών αρχείων.

Το Ragnar Locker δεν κρυπτογραφεί όλα τα αρχεία. Θα παραλείψει ορισμένους φακέλους, ονόματα αρχείων και επεκτάσεις, όπως:

  • kernel32.dll
  • Windows
  • Windows.old
  • Tor browser
  • Internet Explorer
  • Google
  • Opera
  • Λογισμικό Opera
  • Mozilla
  • Mozilla Firefox
  • $ Recycle.Bin
  • ProgramData
  • Όλοι οι χρήστες
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootsect.bak
  • bootmgr
  • bootmgr .efi
  • bootmgfw.efi
  • desktop.ini
  • iconcache.db
  • ntldr
  • ntuser.dat
  • ntuser.dat.log
  • ntuser.ini
  • thumbs.db
  • .sys
  • .dll
  • .lnk
  • .msi
  • .drv
  • .exe

Εκτός από την προσθήκη μια νέα επέκταση αρχείου στα κρυπτογραφημένα αρχεία, το Ragnar Locker προσθέτει επίσης ένα δείκτη αρχείου «RAGNAR» στο τέλος κάθε κρυπτογραφημένου αρχείου.

Το Ragnar Locker στη συνέχεια ρίχνει ένα μήνυμα λύτρων με το όνομα ".RGNR_ [extension] .txt" που περιέχει λεπτομέρειες σχετικά με το ποσό των λύτρων, τη διεύθυνση πληρωμής bitcoin, ένα αναγνωριστικό συνομιλίας TOX που θα χρησιμοποιηθεί για την επικοινωνία με τους εισβολείς και μια εφεδρική διεύθυνση email εάν υπάρχουν προβλήματα με το TOX. Σε αντίθεση με άλλα ransomware, το Ragnar Locker δεν έχει σταθερό ποσό λύτρων. Διαφέρει ανάλογα με τον στόχο και υπολογίζεται ξεχωριστά. Σε ορισμένες αναφορές, το ποσό των λύτρων θα μπορούσε να κυμαίνεται από 200.000 έως 600.000 $. Στην περίπτωση του EDP, το λύτρο που ζητήθηκε ήταν 1.580 bitcoin ή 11 εκατομμύρια $.

Πώς να αφαιρέσετε το Ragnar Locker

Εάν ο υπολογιστής σας ήταν άτυχος να μολυνθεί με το Ragnar Locker, το πρώτο πράγμα που πρέπει να κάνετε είναι να εάν όλα τα αρχεία σας έχουν κρυπτογραφηθεί. Πρέπει επίσης να ελέγξετε εάν τα εφεδρικά αρχεία σας έχουν κρυπτογραφηθεί επίσης. Επιθέσεις όπως αυτό υπογραμμίζουν τη σημασία της δημιουργίας αντιγράφων ασφαλείας των σημαντικών δεδομένων σας, επειδή τουλάχιστον, δεν θα ανησυχείτε για την απώλεια πρόσβασης στα αρχεία σας.

Μην επιχειρήσετε να πληρώσετε τα λύτρα γιατί θα είναι άχρηστο. Δεν υπάρχει καμία εγγύηση ότι ο εισβολέας θα σας στείλει το σωστό κλειδί αποκρυπτογράφησης και ότι τα αρχεία σας δεν θα διαρρεύσουν ποτέ στο κοινό. Στην πραγματικότητα, είναι πολύ πιθανό οι εισβολείς να συνεχίσουν να εκβιάζουν χρήματα από εσάς, επειδή γνωρίζουν ότι είστε διατεθειμένοι να πληρώσετε.

Αυτό που μπορείτε να κάνετε είναι να διαγράψετε πρώτα το ransomware από τον υπολογιστή σας πριν προσπαθήσετε να αποκρυπτογραφήσετε. το. Μπορείτε να χρησιμοποιήσετε την εφαρμογή antivirus ή anti-malware για να σαρώσετε τον υπολογιστή σας για κακόβουλο λογισμικό και να ακολουθήσετε τις οδηγίες για τη διαγραφή όλων των απειλών που εντοπίστηκαν. Στη συνέχεια, απεγκαταστήστε τυχόν ύποπτες εφαρμογές ή επεκτάσεις που μπορεί να σχετίζονται με το κακόβουλο λογισμικό.

Τέλος, αναζητήστε ένα εργαλείο αποκρυπτογράφησης που ταιριάζει με το Ragnar Locker. Υπάρχουν πολλοί αποκρυπτογράφοι που έχουν σχεδιαστεί για αρχεία κρυπτογραφημένα από ransomware, αλλά θα πρέπει πρώτα να ελέγξετε τον κατασκευαστή του λογισμικού ασφαλείας σας εάν έχουν διαθέσιμο. Για παράδειγμα, οι Avast και Kaspersky έχουν το δικό τους εργαλείο αποκρυπτογράφησης που μπορούν να χρησιμοποιήσουν οι χρήστες. Ακολουθεί μια λίστα με άλλα εργαλεία αποκρυπτογράφησης που μπορείτε να δοκιμάσετε.

Πώς να προστατευτείτε από το Ragnar Locker

Το λογισμικό Ransomware μπορεί να είναι αρκετά ενοχλητικό, ειδικά εάν δεν υπάρχει υπάρχον εργαλείο αποκρυπτογράφησης ικανό να αναιρέσει την κρυπτογράφηση που έγινε από το κακόβουλο λογισμικό . Για να προστατεύσετε τη συσκευή σας από ransomware, ιδιαίτερα από το Ragnar Locker, ακολουθούν μερικές από τις συμβουλές που πρέπει να έχετε υπόψη:

  • Χρησιμοποιήστε μια ισχυρή πολιτική κωδικού πρόσβασης, χρησιμοποιώντας έλεγχο ταυτότητας διπλού παράγοντα ή πολλαπλών παραγόντων (MFA) εάν είναι δυνατόν. Εάν δεν είναι δυνατό, δημιουργήστε τυχαίους, μοναδικούς κωδικούς πρόσβασης που θα είναι δύσκολο να μαντέψετε.
  • Φροντίστε να κλειδώσετε τον υπολογιστή σας όταν φεύγετε από το γραφείο σας. Είτε πρόκειται να βγείτε για μεσημεριανό γεύμα, να κάνετε ένα μικρό διάλειμμα είτε απλά να πάτε στην τουαλέτα, κλειδώστε τον υπολογιστή σας για να αποφύγετε τη μη εξουσιοδοτημένη πρόσβαση.
  • Δημιουργήστε ένα πρόγραμμα δημιουργίας αντιγράφων ασφαλείας και ανάκτησης δεδομένων, ειδικά για σημαντικές πληροφορίες υπολογιστή. Αποθηκεύστε τις πιο κρίσιμες πληροφορίες που είναι αποθηκευμένες εκτός του δικτύου ή σε εξωτερική συσκευή, εάν είναι δυνατόν. Ελέγχετε τακτικά αυτά τα αντίγραφα ασφαλείας για να βεβαιωθείτε ότι λειτουργούν σωστά σε περίπτωση πραγματικής κρίσης.
  • Κάντε τα συστήματά σας να ενημερώνονται και να εγκαθίστανται με τις πιο πρόσφατες ενημερώσεις ασφαλείας. Το Ransomware εκμεταλλεύεται συνήθως ευπάθειες στο σύστημά σας, οπότε βεβαιωθείτε ότι η ασφάλεια της συσκευής σας είναι αεροστεγής.
  • Να είστε προσεκτικοί με τους κοινούς φορείς για το ηλεκτρονικό ψάρεμα (phishing), που είναι η πιο κοινή μέθοδος διανομής του ransomware. Μην κάνετε κλικ σε τυχαίους συνδέσμους και σαρώστε πάντα συνημμένα email πριν τα κατεβάσετε στον υπολογιστή σας.
  • Εγκαταστήστε ένα ισχυρό λογισμικό ασφαλείας στη συσκευή σας και ενημερώστε τη βάση δεδομένων με τις πιο πρόσφατες απειλές.

Βίντεο YouTube: Πώς να αντιμετωπίσετε το Ragnar Locker Ransomware

05, 2024