BlackSuit Ransomware: Kompletní průvodce

BlackSuit ransomware je typ malwaru, o kterém je známo, že cílí na uživatele Windows i Linuxu a brání obětem v přístupu k jejich souborům tím, že je zašifruje. Tento ransomware můžete obvykle identifikovat, protože BlackSuit přidá příponu „.blacksuit“ k názvům souborů a změní tapetu pracovní plochy, vytvoří poznámku o výkupném nazvanou „README.BlackSuit.txt“ a přejmenuje soubory. Výkupné BlackSuit bude tvrdit několik tvrzení, zejména to, že základní soubory byly zašifrovány a uloženy na zabezpečeném serveru, a proto byly kompromitovány další citlivé soubory s osobními údaji, a tudíž i jiné soubory duševního vlastnictví. BlackSuit má také stránku pro únik dat jako součást své strategie dvojitého vydírání, která má oběti přimět k zaplacení požadavku na výkupné.

Jaký druh malwaru je BlackSuit?

BlackSuit je ransomware, typ malwaru, který šifruje soubory v systému oběti a požaduje platbu výměnou za dešifrovací klíč. Jakmile ransomware infikuje systém, použije funkce FindFirstFileW() a FindNextFileW() API k výčtu souborů a adresářů a zahájení procesu šifrování. BlackSuit ransomware používá k šifrování souborů algoritmus Advanced Encryption Standard (AES). Algoritmus AES je symetrický šifrovací algoritmus, který je široce používán pro šifrování dat. BlackSuit ransomware používá OpenSSL AES pro šifrování a využívá podobné techniky přerušovaného šifrování pro rychlé a efektivní šifrování souborů obětí. BlackSuit ransomware se zaměřuje na uživatele operačních systémů Windows i Linux. Ransomware zahodí poznámku o výkupném s názvem „README.BlackSuit.txt“ do každého adresáře, který projde. Po zašifrování souborů je přejmenuje přidáním přípony „.BlackSuit“.

Vše, co víme o BlackSuit Ransomware

Potvrzené jméno

• BlackSuit virus

Typ hrozby

• Ransomware
• Kryptovirus
• Skříňka na soubory
• Dvojité vydírání

Přípona šifrovaných souborů

• .černá souprava

Zpráva požadující výkupné

Přečtěte si také:Daixin Ransomware Group: Kompletní průvodce

• README.BlackSuit.txt

Názvy detekcí

• AvastWin32: Malware-gen
• KasperskyHEUR:Trojan-Ransom.Win32.Generic
• SophosMal/Generic-S (PUA)
• MicrosoftVýkupné:Win32/BlackSuit.B

Distribuční metody

• Infikované e-mailové přílohy (makra)
• Torrentové webové stránky
• Škodlivé reklamy
• trojské koně

Důsledky

• Soubory jsou zašifrovány a uzamčeny až do zaplacení výkupného
• Únik dat
• Dvojité vydírání

Varianta Windows

• 32bitové Windows varianty rodin BlackSuit a Royal ransomware sdílejí 93,2% podobnost ve funkcích, 99,3% podobnost v základních blocích a 98,4% ve skocích na základě BinDiff.
• BlackSuit a Royal používají k šifrování OpenSSL AES a využívají podobné techniky přerušovaného šifrování.

Linuxová varianta

• Linuxová varianta ransomwaru BlackSuit je 64bitový spustitelný soubor ELF zkompilovaný pomocí GCC s sha256 jako 1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e.
• Linuxové varianty Royal a BlackSuit sdílejí 98% podobnost ve funkci, 99,5% podobnost v blocích a 98,9% podobnost ve skocích na základě porovnávacího nástroje BinDiff.

Je k dispozici bezplatný decryptor?

Žádný.V současné době není k dispozici žádný známý veřejný dešifrovací nástroj pro ransomware BlackSuit.

Co jsou IOC BlackSuit ransomware?

Indicators of Compromise (IOC) jsou artefakty pozorované v síti nebo v operačním systému, které s vysokou spolehlivostí indikují narušení počítače. IOC lze použít k včasné detekci budoucích pokusů o útok pomocí systémů detekce narušení a antivirového softwaru. Infekce ransomwarem BlackSuit nemusí vykazovat žádné znatelné příznaky, dokud se neobjeví oznámení o výkupném. Zde jsou však některé příznaky, které mohou naznačovat infekci BlackSuit ransomware:

• Soubory nelze otevřít ani k nim přistupovat a jejich názvy byly změněny tak, aby obsahovaly příponu „.blacksuit“.
• Tapeta plochy byla změněna.
• Poznámka o výkupném s názvem „README.BlackSuit.txt“ je přítomna v každém adresáři.
• Výkupné tvrdí, že základní soubory byly zašifrovány a uloženy na zabezpečeném serveru a že byly kompromitovány finanční zprávy, duševní vlastnictví, osobní soubory a další citlivá data.
• Oběť může obdržet zprávu požadující platbu výměnou za dešifrovací klíč.

Pokud je přítomen některý z těchto příznaků, doporučuje se provést okamžitá opatření, aby nedošlo k dalšímu poškození a ztrátě dat. Kontaktováním odborníků na odstranění ransomwaru SalvageData získáte bezpečnou službu obnovy dat a odstranění ransomwaru po útoku.

Co je ve výkupném BlackSuit

Poznámka o výkupném generovaná ransomwarem BlackSuit se nazývá „README.BlackSuit.txt“ a je vhozena do každého adresáře, který projde. Poznámka obsahuje zprávu od útočníků, kteří tvrdí, že základní soubory byly zašifrovány a uloženy na zabezpečeném serveru. Poznámka také uvádí, že byly kompromitovány finanční zprávy, duševní vlastnictví, osobní soubory a další citlivá data. Útočníci požadují platbu výkupného výměnou za dešifrovací klíč. Celkově je tón výkupného pro BlackSuit navržen tak, aby v oběti vyvolal pocit naléhavosti a strachu a přiměl ji, aby vyhověla požadavkům útočníků. Ukázka výkupného BlackSuit:

Běžné způsoby, jak může BlackSuit ransomware infikovat systém:

Infikované e-mailové přílohy (makra)

• Kyberzločinci mohou distribuovat BlackSuit ransomware prostřednictvím e-mailových příloh, které obsahují infikované odkazy nebo makra.
• Uživatelé, kteří otevřou tyto přílohy nebo povolí makra, mohou neúmyslně spustit spuštění ransomwaru ve svém systému.

Torrentové webové stránky

• BlackSuit ransomware lze vložit do torrentových souborů, které se běžně používají ke stahování a sdílení souborů prostřednictvím sítí peer-to-peer.
• Když si uživatelé stáhnou a otevřou tyto infikované torrentové soubory, jejich systémy se mohou infikovat ransomwarem.

Škodlivé reklamy

• Škodlivé reklamy, známé také jako malvertising, lze použít jako způsob distribuce ransomwaru BlackSuit.
• Uživatelé, kteří kliknou na tyto reklamy, mohou být přesměrováni na webové stránky, které automaticky stahují a instalují ransomware do jejich systému.

trojské koně

• BlackSuit ransomware lze doručit prostřednictvím trojských koní, což jsou škodlivé programy, které mohou stahovat a instalovat další typy malwaru, včetně ransomwaru.
• Trojské koně mohou být distribuovány různými způsoby, jako jsou phishingové e-maily, falešné aktualizace softwaru nebo kompromitované webové stránky

Jak funguje BlackSuit ransomware?

BlackSuit ransomware je typ malwaru, který funguje jako ransomwarová hrozba a brání obětem v přístupu k jejich souborům tím, že je zašifruje. Je důležité poznamenat, že specifické chování a funkce ransomwaru BlackSuit se mohou v různých verzích nebo variantách lišit. Zde je popis toho, jak ransomware BlackSuit obvykle funguje:

Rozdělení

BlackSuit ransomware je distribuován různými metodami, včetně infikovaných e-mailových příloh, torrentových webových stránek, škodlivých reklam a trojských koní.

Provedení

Jakmile ransomware infikuje systém, zahájí proces šifrování. K vytvoření výčtu souborů a adresářů v systému používá funkce API FindFirstFileW() a FindNextFileW().

Šifrování

BlackSuit ransomware používá k šifrování cílových typů souborů silný kryptografický algoritmus, jako je Advanced Encryption Standard (AES). Šifrované soubory jsou upraveny připojením přípony „.blacksuit“ k jejich původním názvům.

Výkupná poznámka

Po zašifrování souborů BlackSuit ransomware zahodí výkupné s názvem „README.BlackSuit.txt“ do každého adresáře, který projde. Výkupné slouží jako sdělení od útočníků, kteří požadují platbu výkupného výměnou za dešifrovací klíč.

Změna tapety na plochu

BlackSuit ransomware také mění tapetu plochy infikovaného systému a zobrazuje zprávu nebo obrázek související s ransomwarovým útokem.

Ztráta a vydírání dat

Bez dešifrovacího klíče se zašifrované soubory stanou nepřístupnými a nepoužitelnými. Útočníci mohou pohrozit únikem nebo prodejem kompromitovaných dat, pokud nebude zaplaceno výkupné.

Neplaťte výkupné!Obětem ransomwarových útoků BlackSuit se doporučuje nahlásit incident orgánům činným v trestním řízení a požádat o pomoc renomovaného odborníka na kybernetickou bezpečnost.

Jak zvládnout útok ransomwaru BlackSuit

Důležité:Prvním krokem po identifikaci BlackSuit IOC je uchýlit se k vašemu plánu reakce na incidenty (IRP). V ideálním případě máte Incident Response Retainer (IRR) s důvěryhodným týmem profesionálů, které lze kontaktovat 24/7/365, a ti mohou podniknout okamžitá opatření, která zabrání ztrátě dat, sníží nebo eliminují platbu výkupného a pomohou vám s případnými právními závazky. Podle našich nejlepších znalostí informací, které máme v době vydání tohoto článku, je prvním krokem, který by tým odborníků na počítačový software odpojil od obnovení infikovaného softwaru. internetu a odebrání jakéhokoli připojeného zařízení. Zároveň vám tento tým pomůže s kontaktováním místních úřadů ve vaší zemi. Pro obyvatele a podniky v USA je tomístní pobočka FBIaInternet Crime Complaint Center (IC3). Chcete-li nahlásit útok ransomwaru, musíte o něm shromáždit všechny dostupné informace, včetně:

• Snímky obrazovky výkupného
• Komunikace s aktéry ransomwaru (pokud je máte)
• Ukázka zašifrovaného souboru

Pokud však nemáte IRP nebo IRR, stále můžetekontaktujte odborníky na odstraňování a obnovu ransomwaru. Toto je nejlepší postup a výrazně zvyšuje šance na úspěšné odstranění ransomwaru, obnovení dat a předcházení budoucím útokům. Doporučujeme vámnechte každý infikovaný stroj tak, jak jea zavolejte anslužba nouzového obnovení ransomwaru.Restartování nebo vypnutí systému může ohrozit proces obnovy. Zachycení paměti RAM živého systému může pomoci získat šifrovací klíč a zachycení souboru dropper může být reverzní inženýrství a vést k dešifrování dat nebo pochopení toho, jak funguje.

Co NEDĚLAT, abyste se zotavili z útoku ransomwaru BlackSuit

Musítenevymazat ransomwarea uschovejte si všechny důkazy o útoku. To je důležité prodigitální forenznítakže odborníci mohou vystopovat zpět ke skupině hackerů a identifikovat je. Úřady mohou využívat data ve vašem infikovaném systémuprozkoumat útok a najít odpovědného.Vyšetřování kybernetického útoku se neliší od jakéhokoli jiného vyšetřování trestných činů: potřebuje důkazy k nalezení útočníků.

1. Kontaktování vašeho poskytovatele reakce na incidenty

Reakce na kybernetický incident je proces reakce na kybernetický bezpečnostní incident a jeho řízení. Incident Response Retainer je servisní smlouva s poskytovatelem kybernetické bezpečnosti, která organizacím umožňuje získat externí pomoc s kybernetickými bezpečnostními incidenty. Poskytuje organizacím strukturovanou formu odborných znalostí a podpory prostřednictvím bezpečnostního partnera, což jim umožňuje rychle a efektivně reagovat během kybernetického incidentu. Zásobník odezvy na incident nabízí organizacím klid a nabízí odbornou podporu před a po kybernetickém bezpečnostním incidentu. Specifická povaha a struktura odpovědného pracovníka na incidenty se bude lišit podle poskytovatele a požadavků organizace. Dobrý zálohovač reakce na incidenty by měl být robustní, ale flexibilní a měl by poskytovat osvědčené služby ke zlepšení dlouhodobého bezpečnostního postavení organizace.Pokud se obrátíte na svého poskytovatele IR služeb, o vše ostatní se postará on.Pokud se však rozhodnete ransomware odstranit a obnovit soubory se svým týmem IT, můžete postupovat podle následujících kroků.

2. Identifikujte infekci ransomware

Můžeteurčit, který ransomwareinfikoval váš počítač příponou souboru (některý ransomware používá příponu souboru jako svůj název), nebo bude na poznámce o výkupném. Pomocí těchto informací můžete vyhledat veřejný dešifrovací klíč. Typ ransomwaru můžete také zkontrolovat podle jeho IOC. Indicators of Compromise (IOC) jsou digitální vodítka, která odborníci na kybernetickou bezpečnost používají k identifikaci systémových kompromitů a škodlivých aktivit v rámci sítě nebo IT prostředí. Jsou to v podstatě digitální verze důkazů zanechaných na místě činu a mezi potenciální MOV patří neobvyklý síťový provoz, privilegovaná přihlášení uživatelů z cizích zemí, podivné požadavky DNS, změny systémových souborů a další. Když je detekován IOC, bezpečnostní týmy vyhodnotí možné hrozby nebo ověří jeho pravost. MOV také poskytují důkazy o tom, k čemu měl útočník přístup, pokud by do sítě pronikl.

3. Odstraňte ransomware a odstraňte exploit kity

Před obnovením dat musíte zaručit, že vaše zařízení neobsahuje ransomware a že útočníci nemohou provést nový útok prostřednictvím sad exploitů nebo jiných zranitelností. Služba pro odstranění ransomwaru může ransomware vymazat, vytvořit forenzní dokument pro vyšetřování, odstranit zranitelnosti a obnovit vaše data. Použijte software proti malwaru/antiransomwaru ke karanténě a odstranění škodlivého softwaru.

Důležité:Kontaktováním služeb pro odstraňování ransomwaru můžete zajistit, že váš počítač a síť nebudou mít žádné stopy po ransomwaru BlackSuit. Tyto služby také mohou opravit váš systém a zabránit novým útokům ransomwaru.

4. K obnovení dat použijte zálohu

Zálohy jsou nejúčinnějším způsobem obnovy dat. Ujistěte se, že máte denní nebo týdenní zálohy v závislosti na využití dat.

5. Kontaktujte službu obnovy ransomwaru

Pokud nemáte zálohu nebo potřebujete pomoc s odstraněním ransomwaru a odstraněním zranitelností, kontaktujte službu pro obnovu dat. Zaplacení výkupného nezaručuje, že se vám vaše data vrátí. Jediným zaručeným způsobem, jak můžete obnovit každý soubor, je mít jeho zálohu. Pokud tak neučiníte, služby pro obnovu dat ransomwaru vám mohou pomoci dešifrovat a obnovit soubory. Odborníci na SalvageData mohou bezpečně obnovit vaše soubory a zabránit ransomwaru BlackSuit v dalším útoku na vaši síť. Pro službu nouzového obnovení kontaktujte naše odborníky 24 hodin denně, 7 dní v týdnu.

Zabraňte útoku ransomwaru

Prevence ransomwaru je nejlepším řešením pro zabezpečení dat. je jednodušší a levnější než zotavení z nich. BlackSuit ransomware může stát budoucnost vaší firmy a dokonce jí zavřít dveře. Zde je několik tipů, jak zajistitvyhnout se útokům ransomwaru:

• Používejte spolehlivý antivirový software.Nainstalujte a pravidelně aktualizujte renomovaný antivirový software na vašem systému. To může pomoci detekovat a blokovat známé hrozby ransomwaru, včetně BlackSuit.
• Buďte opatrní s přílohami e-mailů.Buďte opatrní při otevírání e-mailových příloh, zvláště pokud pocházejí z neznámých nebo podezřelých zdrojů. Vyhněte se otevírání příloh, které jste nečekali nebo které se zdají podezřelé.
• Dejte si pozor na podezřelé odkazy.Neklikejte na podezřelé odkazy, zejména v e-mailech, vyskakovacích reklamách nebo na neznámých webových stránkách. Tyto odkazy mohou vést ke škodlivým webům, které mohou distribuovat ransomware, jako je BlackSuit.
• Udržujte svůj operační systém a software aktuální.Pravidelně aktualizujte operační systém, webové prohlížeče a další softwarové aplikace. Aktualizace softwaru často obsahují opravy zabezpečení, které mohou pomoci chránit před známými zranitelnostmi, které může ransomware zneužít.
• Povolit automatické aktualizace.Povolte automatické aktualizace operačního systému a softwarových aplikací. To zajišťuje, že obdržíte nejnovější bezpečnostní záplaty a aktualizace bez ručního zásahu.
• Pravidelně zálohujte své soubory.Pravidelně zálohujte své důležité soubory na externí pevný disk, cloudové úložiště nebo jiné zabezpečené místo. V případě útoku ransomwaru vám zálohování může pomoci obnovit soubory, aniž byste museli platit výkupné.
• Vzdělávejte sebe i své zaměstnance.Poučte sebe a své zaměstnance o bezpečných online praktikách, jako je vyhýbání se podezřelým stahováním, opatrnosti s e-mailovými přílohami a rozpoznávání pokusů o phishing. Informovanost a ostražitost mohou významně přispět k prevenci ransomwarových infekcí.

Dodržováním těchto preventivních opatření můžete snížit riziko, že BlackSuit ransomware infikuje váš systém, a chránit vaše soubory před zašifrováním.