Snatch Ransomware: Komplet vejledning

Snatch er ikke en ny trussel, denne ransomware-familie og dens varianter har angrebet organisationer og virksomheder siden 2019. Det er en højrisiko-malware, der låser og eksfiltrerer ofres data. Hackere kræver derefter en løsesum i bytte for dekrypteringsnøglen og en "garanti" for, at de ikke vil lække dataene på deres Tor-websted, denne taktik er kendt somdobbelt afpresning.Snatch-ransomwaren udnytter, at Windows ikke kører sikkerhedsmekanismer på slutpunktsenheder, når systemet genstarter i fejlsikret tilstand. For at undgå opdagelse tvinger malwaren derefter de inficerede maskiner til at genstarte i fejlsikret tilstand.

Hvilken slags malware er Snatch?

Snatch ransomware er en type malware, der er særligt snigende. Den bruger offentligt tilgængelige og indbyggede værktøjer til sine ondsindede aktiviteter og har været kendt for at målrette mod virksomheder i en række sektorer, herunder sundhedspleje, finans og detailhandel. Snatch ransomware er også kendt for at eksfiltrere ofres følsomme og kritiske data, før de krypterer dem og derefter truer med at lække dem, medmindre de betaler løsesum en kombination af en kombination af en kryptering og en symmetrisk brug. kryptering. Malwaren genererer et unikt RSA-2048-nøglepar på ofrets computer, som bruges til at kryptere filer med AES-256 symmetrisk krypteringsalgoritme. Den offentlige nøgle krypteres derefter ved hjælp af en hårdkodet offentlig nøgle inkluderet i malwaren og sendes til angriberens server. Angriberne bruger derefter deres private nøgle til at dekryptere ofrets offentlige nøgle og sende en dekrypteringsnøgle tilbage, der kan bruges til at gendanne de krypterede filer.

Alt, hvad vi ved om Snatch ransomware

Denne liste indeholder de grundlæggende oplysninger om den nye ransomware-stamme kendt som Snatch.Bekræftet navn

• Snap virus

Trusselstype

• Ransomware
• Skjul malware
• Krypto virus
• Filer skab
• Dobbelt afpresning

Udvidelse til krypterede filer

• .snap
• .slange
• .jer
• .google
• .dglnl
• .ohwqg
• .wvtr0
• .hceem

Løsepenge krævende besked

• Readme_Restore_Files.txt
• Restore_JIMM_Files.txt
• RESTORE_DGLNL_FILES.txt
• RESTORE_HCEEM_DATA.txt
• RESTORE_WVTR0_FILES.txt
• DECRYPT_GOOGL_FILES.txt
• DECRYPT_OHWQG_FILES.txt

Detektionsnavne

• AvastWin64:Evo-gen [Trj]
• AVGWin64:Evo-gen [Trj]
• EmsisoftGeneric.Ransom.Snatch.5D562140 (B)
• KasperskyTrojan.Win32.DelShad.ea
• MalwarebytesGenerisk.Malware/mistænkelig
• MicrosoftVirTool:MSIL/CryptInject

Ransomware familie, type og variantDer er mange varianter af Snatch ransomware, men nogle af dem bruger deres egen krypteringsmetode og udvidelser til krypterede filer.Fordelingsmetoder

• Phishing-e-mails
• Ondsindede vedhæftede filer
• Social ingeniørkunst

Konsekvenser

• Dataeksfiltrering
• Filkryptering

Er der en gratis decryptor tilgængelig?

Ingen.Der er ingen kendt offentlig dekryptering til Snatch ransomware tilgængelig på nuværende tidspunkt.

Hvad er Snatch ransomwares IOC'er?

Indikatorer for kompromis (IOC'er) er artefakter, der observeres på et netværk eller i et operativsystem, og som indikerer en computerindtrængen med høj tillid. IOC'er kan bruges til tidlig påvisning af fremtidige angrebsforsøg ved hjælp af indtrængendetekteringssystemer og antivirussoftware. Snatch ransomware's Indicators of Compromise (IOC'er) omfatter:

• Manglende evne til at åbne filer gemt på din computer.Efter at have inficeret et system, krypterer Snatch ransomware ofrets filer og gør dem utilgængelige.
• Tidligere funktionelle filer er ikke længere tilgængelige.Snatch ransomware erstatter de originale filer med krypterede versioner, der kun kan dekrypteres med en specifik nøgle, som kun er kendt af angriberne.
• Beskeder med krav om betaling.Efter at have krypteret ofrets filer, viser Snatch ransomware en besked, der kræver betaling i bytte for en dekrypteringsnøgle, der vil give offeret adgang til deres filer igen.
• Systemet genstarter i fejlsikret tilstand.Snatch ransomware er kendt for at genstarte inficerede systemer i fejlsikret tilstand for at omgå antivirus og anden sikkerhedssoftware.

Hvordan finder du Snatch ransomwares løsesumseddel

Snatch-løsesumsedlen er kort og forklarer de trin, ofre skal tage for at hente deres data. I notatet står der, at den nemmeste vej tilbage til, at virksomheden fungerer normalt, er at betale løsesummen.Du må ikke betale løsesum eller forhandle med trusselsaktørerne. Kontakt SalvageData-eksperter med det samme for at gendanne dine filer og rapportere ransomwaren til de lokale myndigheder.Eksempel på Snatch-løsesumsedlen:

Hvordan spredes Snatch ransomware

Snatch ransomware er en farlig malware, der kan inficere en computer eller netværk på flere måder, herunder:

• Spam- og phishing-e-mails, der foregiver at være legitime virksomheder. Svindlere sender e-mails, der ser ud til at være fra legitime virksomheder, såsom PayPal, UPS, FedEx og andre. Disse e-mails indeholder links eller vedhæftede filer, der sætter dine data og netværk i fare. Et klik på et link eller en download af en vedhæftet fil kan låse alle ude af dit netværk.

• Social ingeniørkunst.Det er en type cyberangreb, der er afhængig af menneskelig interaktion for at narre ofre til at videregive følsomme oplysninger, klikke på links eller vedhæftede filer eller foretage andre sikkerhedskompromitterende handlinger. Målet med social engineering angreb er at udnytte menneskelig psykologi og adfærd for at få adgang til følsom information eller systemer. Angribere kan efterligne en betroet myndighed, såsom en bankrepræsentant eller it-tekniker, eller skabe en følelse af uopsættelighed eller frygt for at presse offeret til at handle.

Hvordan inficerer Snatch ransomware en computer eller netværk

Snatch ransomware er kendt for sin evne til at omgå antivirussoftware ved at genstarte den inficerede computer i fejlsikret tilstand, hvor det meste sikkerhedssoftware ikke kører. Når først Snatch inficerer et system, begynder det at kryptere filer og tilføjer en ".snatch" eller varianter udvidelse til filnavnene. Angriberne kræver derefter betaling i bytte for en dekrypteringsnøgle, der vil gendanne adgangen til de krypterede filer. Ud over filkryptering er Snatch ransomware også kendt for at stjæle følsomme data, såsom login-legitimationsoplysninger og økonomiske oplysninger, fra inficerede systemer.

Sådan håndteres et Snatch ransomware-angreb

Vigtig:Det første skridt efter at have identificeret Snatch IOC'er er at ty til din Incident Response Plan (IRP). Ideelt set har du en Incident Response Retainer (IRR) med et betroet team af fagfolk, som kan kontaktes 24/7/365, og de kan træffe øjeblikkelige foranstaltninger, der forhindrer datatab, reducerer eller eliminerer løsesumsbetalingen og hjælper dig gennem eventuelle juridiske forpligtelser. Så vidt vi ved med de oplysninger, vi har på det tidspunkt, denne artikel udgives, er det første skridt, at et ekspertteam vil tage et ekspertteam til at genoprette. inficeret computer ved at fjerne enhver tilsluttet enhed.Samtidigt vil dette team hjælpe dig med at kontakte dit lands lokale myndigheder. For amerikanske indbyggere og virksomheder er detlokalt FBI feltkontorog denInternet Crime Complaint Center (IC3). For at rapportere et ransomware-angreb skal du indsamle alle de oplysninger, du kan om det, herunder:

• Skærmbilleder af løsesumsedlen
• Kommunikation med Snatch-skuespillere (hvis du har dem)
• Et eksempel på en krypteret fil

Men hvis du ikke har en IRP eller IRR, kan du stadigkontakt fagfolk til fjernelse og gendannelse af ransomware. Dette er den bedste fremgangsmåde og øger i høj grad chancerne for succesfuldt at fjerne ransomwaren, gendanne dataene og forhindre fremtidige angreb. Vi anbefaler, at dulad alle inficerede maskiner være som de erog ring til ennødhjælpstjeneste til gendannelse af ransomware. Genstart eller lukning af systemet kan kompromittere gendannelsesprocessen. Indfangning af RAM i et live-system kan hjælpe med at få krypteringsnøglen, og at fange en dropper-fil kan blive omvendt og føre til dekryptering af data eller forståelse af, hvordan det fungerer.

Hvad skal man IKKE gøre for at komme sig efter et Snatch ransomware-angreb

Du skalikke slette ransomwaren, og gem alle beviser for angrebet. Det er vigtigt fordigital retsmedicinså eksperter kan spore tilbage til hackergruppen og identificere dem. Det er ved at bruge dataene på dit inficerede system, at myndigheder kanefterforske angrebet og finde den ansvarlige.En efterforskning af cyberangreb adskiller sig ikke fra enhver anden kriminel efterforskning: den kræver beviser for at finde angriberne.

RELATERET:Akira Ransomware: Komplet vejledning

1. Kontakt din Incident Response-udbyder

En cyberhændelsesreaktion er processen med at reagere på og håndtere en cybersikkerhedshændelse. An Incident Response Retainer er en serviceaftale med en cybersikkerhedsudbyder, der giver organisationer mulighed for at få ekstern hjælp til cybersikkerhedshændelser. Det giver organisationer en struktureret form for ekspertise og support gennem en sikkerhedspartner, hvilket gør dem i stand til at reagere hurtigt og effektivt i tilfælde af en cyberhændelse. En hændelsesretainer giver organisationer ro i sindet og tilbyder ekspertsupport før og efter en cybersikkerhedshændelse. Den specifikke karakter og struktur af en hændelsesberedskab vil variere afhængigt af udbyderen og organisationens krav. En god hændelsesretainer bør være robust, men fleksibel, og levere dokumenterede tjenester til at forbedre en organisations langsigtede sikkerhedsposition. Hvis du kontakter din IR-tjenesteudbyder, så tager de sig af alt andet. Men hvis du beslutter dig for at fjerne ransomwaren og gendanne filerne med dit it-team, så kan du følge de næste trin.

2. Identificer ransomware-infektionen

Det kan duidentificere hvilken ransomwareinficerede din maskine med filtypenavnet (nogle ransomware bruger filtypenavnet som deres navn), ellers vil det stå på løsesumsedlen. Med disse oplysninger kan du lede efter en offentlig dekrypteringsnøgle. Du kan også kontrollere ransomware-typen ved dens IOC'er. Indicators of Compromise (IOC'er) er digitale spor, som cybersikkerhedsprofessionelle bruger til at identificere systemkompromiser og ondsindede aktiviteter inden for et netværk eller it-miljø. De er i det væsentlige digitale versioner af beviser, der er efterladt på et gerningssted, og potentielle IOC'er inkluderer usædvanlig netværkstrafik, privilegerede brugerlogin fra fremmede lande, mærkelige DNS-anmodninger, systemfilændringer og mere. Når en IOC opdages, evaluerer sikkerhedsteams mulige trusler eller validerer dens ægthed. IOC'er giver også bevis for, hvad en angriber havde adgang til, hvis de infiltrerede netværket.

3. Fjern ransomware og eliminer udnyttelsessæt

Før du gendanner dine data, skal du garantere, at din enhed er ransomware-fri, og at angriberne ikke kan foretage et nyt angreb gennem udnyttelsessæt eller andre sårbarheder. En tjeneste til fjernelse af ransomware kan slette ransomware, oprette et retsmedicinsk dokument til undersøgelse, eliminere sårbarheder og gendanne dine data. Brug anti-malware/anti-ransomware-software til at sætte karantæne og fjerne den ondsindede software.Vigtig:Ved at kontakte tjenester til fjernelse af ransomware kan du sikre, at din maskine og netværk ikke har spor af Snatch ransomware. Disse tjenester kan også patche dit system, hvilket forhindrer nye angreb.

4. Brug en sikkerhedskopi til at gendanne dataene

Sikkerhedskopier er den mest effektive måde at gendanne data på. Sørg for at holde daglige eller ugentlige sikkerhedskopier, afhængigt af dit dataforbrug.

5. Kontakt en ransomware-gendannelsestjeneste

Hvis du ikke har en sikkerhedskopi eller har brug for hjælp til at fjerne ransomwaren og eliminere sårbarheder, bør du kontakte en datagendannelsestjeneste. At betale løsesummen garanterer ikke, at dine data vil blive returneret til dig. Den eneste garanterede måde, du kan gendanne hver fil, er, hvis du har en sikkerhedskopi af den. Hvis du ikke gør det, kan ransomware-datagendannelsestjenester hjælpe dig med at dekryptere og gendanne filerne.SalvageData-eksperter kan sikkert gendanne dine filer og forhindre Snatch-ransomwaren i at angribe dit netværk igen.Vi tilbyder også endigital retsmedicinsk rapportsom du kan bruge til yderligere efterforskning og for at forstå, hvordan cyberangrebet skete.Kontakt vores eksperter døgnet rundt for at få nødhjælp.

Forhindre Snatch ransomware-angrebet

Forebyggelse af ransomware er den bedste løsning til datasikkerhed. er nemmere og billigere end at komme sig fra dem. Snatch ransomware kan koste din virksomheds fremtid og endda lukke dens døre. Dette er et par tips til at sikre, at du kanundgå ransomware-angreb:

• Installer antivirus og anti-malware software.
• Brug stærke og sikre adgangskoder.
• Anvend Multi-Factor Authentication (MFA).
• Hold software og operativsystemer opdateret.
• Implementer firewalls.
• Opret en datagendannelsesplan.
• Regelmæssigt planlagte sikkerhedskopier af dine data.
• Undgå e-mailvedhæftede filer og downloads fra ukendte eller mistænkelige kilder.
• Få kun adgang til websteder fra pålidelige kilder.

Ved at overholde denne praksis kan du styrke din online sikkerhed og beskytte dig selv mod potentielle trusler.