MedusaLocker Ransomware: Komplet vejledning

MedusaLocker ransomware blev først opdaget i september 2019 og har siden inficeret og krypteret systemer på tværs af flere sektorer, med primært målrettet sundhedssektoren. MedusaLocker-aktørerne er overvejende afhængige af sårbarheder i fjerntjenester for at få adgang til ofrenes netværk. Aktørerne bruger tjenester som RDP, PsExec og SMB til at inficere andre værter i ofrets netværk.

SalvageData-eksperter anbefaler proaktive datasikkerhedsforanstaltninger, såsom regelmæssig sikkerhedskopiering, stærk cybersikkerhedspraksis og at holde software opdateret, for at beskytte mod ransomware-angreb. Og,i tilfælde af et ransomware-angreb, skal du straks kontakte vores ransomware-gendannelseseksperter.

Se også:MEOW Ransomware: Komplet vejledning

Hvilken slags malware er MedusaLocker?

MedusaLocker er en ransomware, der har været kendt for at målrette mod flere organisationer, især sundheds- og medicinalvirksomheder. Det fungerer som en Ransomware-as-a-Service (RaaS) model baseret på den observerede opdeling af løsepengebetalinger. Selvom den deler et lignende navn, er der ingen klare beviser for, at MedusaLocker har nogen forbindelse med Medusa ransomware.

Alt hvad vi ved om MedusaLocker ransomware

Bekræftet navn

• MedusaLocker virus

Trusselstype

• Ransomware
• Krypto virus
• Filer skab
• Dobbelt afpresning

Er der en gratis decryptor tilgængelig?Nej, der er ingen offentlig dekryptering til MedusaLocker ransomware.Fordelingsmetoder

• Phishing-e-mails
• Fjerntjenester

Konsekvenser

• Filer er krypteret og låst
• Datalæk
• Dobbelt afpresning

Hvad er der i MedusaLocker løsesum noten

Løsesedlen placeres i hver mappe og beskriver, hvordan man kommunikerer med angriberne og betaler løsesummen i Bitcoin. Den advarer også ofre mod at omdøbe, modificere eller forsøge at dekryptere de krypterede filer ved at bruge tredjepartsdekrypteringer, og angiver, at det permanent vil ødelægge dem, og fraråder at ændre eller omdøbe de krypterede filer.

Hvis du indser, at du er et ransomware-offer, kan du få en sikker datagendannelsestjeneste og ransomwarefjernelse efter et angreb ved at kontakte SalvageData ransomware-fjernelseseksperter.

MedusaLocker ransomware metoder til infektion og kryptering

MedusaLocker ransomware bruger forskellige teknikker til at sprede og inficere andre værter i offerets netværk.

• Fjerntjenester: MedusaLocker ransomware bruger fjerntjenester såsom Remote Desktop Protocol (RDP), PsExec og Server Message Block (SMB).
• Phishing-kampagner: MedusaLocker ransomware kan også få adgang til netværk via phishing-kampagner, hvor malware er knyttet til e-mails.

Når MedusaLocker ransomware får adgang til et netværk, følger den den typiske ransomware-angrebslivscyklus og blokerer ofre i at få adgang til deres data. Den krypterer ofrets data ved at bruge en kombination af AES og RSA-2048. MedusaLocker vil yderligere etablere persistens ved at slette lokale sikkerhedskopier, deaktivere opstartsgendannelse og i sidste ende placere en løsesumseddel i hver mappe, der indeholder en fil med den kompromitterede værts krypterede data.

Overhold ikke kravet om løsesum!Kontakt lokale myndigheder og en tjeneste til fjernelse af ransomware for at gendanne dine filer og fjerne enhver potentiel trussel.

Kendte MedusaLocker ransomware IOC'er

IOC står for "Indicator of Compromise" i forbindelse med cybersikkerhed. Det er et retsmedicinsk udtryk, der refererer til beviserne på en enhed, der påpeger et sikkerhedsbrud. Selvom IOC's data er indsamlet efter en mistænkelig hændelse, sikkerhedshændelse eller uventede opkald fra netværket, er det en god cybersikkerhedspraksis at tjekke IOC-data regelmæssigt for at opdage usædvanlige aktiviteter og sårbarheder.IOC inkluderer filtypenavne, IP-adresser, fil-hash, e-mailadresser, betalingstegnebøger og løsepenge-filnavne. Da MedusaLocker er RaaS, vil dens IOC'er variere afhængigt af varianten og den cyberkriminelle bande, der driver den.CISAs MedusaLocker-rådgivningomfatter også følgende IOC'er:Kendte løsesum note filnavne:

• how_to_ recover_data.html
• how_to_recover_data.html.marlock01
• instruktioner.html
• LÆSINSTRUKTION.html
• !!!HOW_TO_DECRYPT!!!.

Kendte krypterede filtypenavne:

• .1btc
• .matlock20
• .læsevejledninger
• .bec
• .mylock
• .deadfilesgr
• .lockfiler
• .tyco
• .fillås
• .zoomzoom
• .marlock08
• .marlock25

Sådan håndteres et MedusaLocker ransomware-angreb

Det første skridt til at komme sig efter et MedusaLocker-angreb er at isolere den inficerede computer ved at afbryde forbindelsen til internettet og fjerne enhver tilsluttet enhed. Derefter skal du kontakte de lokale myndigheder. I tilfælde af amerikanske indbyggere og virksomheder er detFBIog denInternet Crime Complaint Center (IC3).For at rapportere et ransomware-angreb skal du indsamle alle de oplysninger, du kan om det, herunder:

• Skærmbilleder af løsesumsedlen
• Kommunikation med trusselsaktører (hvis du har dem)
• Et eksempel på en krypteret fil

Men hvis du foretrækker detkontakte fagfolk, så er det bedst atlad enhver inficeret maskine være, som den erog bede om ennødhjælpstjeneste til fjernelse af ransomware. Disse fagfolk er udstyret til hurtigt at afbøde skaden, indsamle beviser, potentielt vende krypteringen og gendanne systemet.

Genstart eller lukning af systemet kan kompromittere genoprettelsen af ​​systemet. Indfangning af RAM i et live-system kan hjælpe med at få krypteringsnøglen, og at fange en dropper-fil, dvs. fil, der udfører den ondsindede nyttelast, kan hjælpe med at reverse-manipulere selve krypteringen og føre til dekryptering af dataene eller en bedre forståelse af, hvordan den fungerer.

1. Kontakt din Incident Response-udbyder

En cyberhændelsesreaktion er processen med at reagere på og håndtere en cybersikkerhedshændelse. An Incident Response Retainer er en serviceaftale med en cybersikkerhedsudbyder, der giver organisationer mulighed for at få ekstern hjælp til cybersikkerhedshændelser. Det giver organisationer en struktureret form for ekspertise og support gennem en sikkerhedspartner, hvilket gør dem i stand til at reagere hurtigt og effektivt under en cyberhændelse. En hændelsesretainer giver organisationer ro i sindet og tilbyder ekspertsupport før og efter en cybersikkerhedshændelse. En hændelsesberedskabsholders specifikke karakter og struktur vil variere afhængigt af udbyderen og organisationens krav. En god hændelsesretainer bør være robust, men fleksibel, og levere dokumenterede tjenester til at forbedre en organisations langsigtede sikkerhedsposition.Hvis du kontakter din IR-tjenesteudbyder, kan de tage over med det samme og guide dig gennem hvert trin i gendannelsen af ​​ransomware.Men hvis du beslutter dig for selv at fjerne ransomwaren og gendanne filerne med dit it-team, så kan du følge de næste trin.

2. Identificer ransomware-infektionen

Du kan identificere, hvilken ransomware der inficerede din maskine ved filtypenavnet (nogle ransomware bruger filtypenavnet som deres navn),ved hjælp af et ransomware-id-værktøj, eller det vil stå på løsesummen. Med disse oplysninger kan du lede efter en offentlig dekrypteringsnøgle.

3. Fjern ransomware og eliminer udnyttelsessæt

Før du gendanner dine data, skal du garantere, at din enhed er ransomware-fri, og at angriberne ikke kan foretage et nyt angreb gennem udnyttelsessæt eller andre sårbarheder. En tjeneste til fjernelse af ransomware kan slette ransomwaren, oprette et retsmedicinsk dokument til undersøgelse, fjerne sårbarheder og gendanne dine data.

4. Brug en sikkerhedskopi til at gendanne dataene

Betydningen af ​​sikkerhedskopiering til datagendannelse kan ikke overvurderes, især i forbindelse med forskellige potentielle risici og trusler mod dataintegriteten. Sikkerhedskopier er en kritisk komponent i en omfattende databeskyttelsesstrategi. De giver et middel til at komme sig fra en række forskellige trusler, sikrer kontinuitet i operationer og bevarer værdifuld information. I lyset af ransomware-angreb, hvor ondsindet software krypterer dine data og kræver betaling for deres frigivelse, giver en sikkerhedskopi dig mulighed for at gendanne dine oplysninger uden at give efter for angriberens krav. Sørg for regelmæssigt at teste og opdatere dine sikkerhedskopieringsprocedurer for at forbedre deres effektivitet til at beskytte mod potentielle datatabsscenarier. Der er flere måder at lave en backup på, så du skal vælge det rigtige backup-medium og have mindst én kopi af dine data gemt offsite og offline.

5. Kontakt en ransomware-gendannelsestjeneste

Hvis du ikke har en sikkerhedskopi eller har brug for hjælp til at fjerne malwaren og eliminere sårbarheder, skal du kontakte en datagendannelsestjeneste. At betale løsesummen garanterer ikke, at dine data vil blive returneret til dig. Den eneste garanterede måde, du kan gendanne hver fil på, er, hvis du har en sikkerhedskopi. Hvis du ikke gør det, kan ransomware-datagendannelsestjenester hjælpe dig med at dekryptere og gendanne filerne.SalvageData-eksperter kan sikkert gendanne dine filer og forhindre MedusaLocker ransomware i at angribe dit netværk igen, kontakt vores gendannelseseksperter 24/7.Hvad IKKE skal du gøre efter et ransomware-angrebikke slette ransomwaren, og gem alle beviser for angrebet. Det er vigtigt fordigital retsmedicinså eksperter kan spore tilbage til hackergruppen og identificere dem. Det er ved at bruge dataene på dit inficerede system, at myndigheder kanefterforske angrebet og finde den ansvarlige.En efterforskning af cyberangreb adskiller sig ikke fra enhver anden kriminel efterforskning: den kræver beviser for at finde angriberne.

Forhindre MedusaLocker ransomware-angrebet

Forebyggelse af ransomware er den bedste løsning til datasikkerhed, da det er nemmere og billigere end at komme sig efter angreb. MedusaLocker ransomware kan koste din virksomheds fremtid og endda lukke dens døre.Ved at tage disse proaktive foranstaltninger kan enkeltpersoner og organisationer reducere risikoen for et MedusaLocker ransomware-angreb og beskytte deres data mod at blive krypteret og tilbageholdt til løsesum. Disse er et par tips til at sikre, at du kan undgå ransomware-angreb:

• Uddanne medarbejdereom cybersikkerhed og phishing-bevidsthed for at hjælpe dem med at genkende og undgå phishing-forsøg.
• Implementer sikkerhedsforanstaltninger, såsom firewalls, antivirussoftware og systemer til registrering af indtrængen, til at opdage og blokere ondsindet trafik.
• Vær på vagtog overvåg netværksaktivitet for tegn på mistænkelig adfærd.
• Hold software opdateretmed de nyeste sikkerhedsrettelser for at forhindre ransomware i at udnytte uoprettede sårbarheder.
• Implementer stærke adgangskontroller,såsom multi-faktor autentificering og regelmæssig legitimationsovervågning, for at forhindre ransomware-operatører i at få adgang til systemer ved hjælp af stjålne eller svage legitimationsoplysninger.
• Sikre ikke-administrerede enheder og BYOD-politikkerved at implementere sikkerhedsforanstaltninger såsom enhedskryptering og fjernsletningsfunktioner.
• Scan og patch jævnligt internetvendte applikationerfor at forhindre ransomware-operatører i at udnytte sårbarheder.