CloAk ransomware on suhteellisen uusi kiristysohjelmaryhmä, joka syntyi vuoden 2022 lopun ja vuoden 2023 alun välillä. Kiristysohjelman taustalla olevan ryhmän alkuperä ja identiteetit ovat tällä hetkellä tuntemattomia. Tämä kiristysohjelma käyttää tartunnan saaneen koneen omia resursseja tietojen suodattamiseen ja omia resurssejaan salaamaan tiedostojen salaamista. uhri maksaa lunnaita, ja ryhmällä on tunnettu kiristyssivusto, jossa he myyvät ja vuotavat tietoja uhreistaan. Cloak-vuotosivustolla luetellut uhrit osoittavat jonkin verran maantieteellistä keskittymistä, ja tärkeimmät kohdemaat ovat Saksa, Italia, Taiwan ja Ranska.
SalvageDatan asiantuntijat suosittelevat ennakoivia tietoturvatoimenpiteitä, kuten säännöllistä varmuuskopiointia, vahvoja kyberturvallisuuskäytäntöjä ja ohjelmistojen pitämistä ajan tasalla suojatakseen kiristysohjelmahyökkäyksiä. Ja,ransomware-hyökkäyksen sattuessa ota yhteyttä meihinransomware-palautusasiantuntijatheti.
Millainen haittaohjelma CloAk on?
Cloak tai CloAk ransomware on eräänlainen haittaohjelma, joka salaa uhrin tiedot ja vaatii lunnaita vastineeksi salauksen purkuavaimesta. Cloak ransomware -ryhmällä on tunnettu kiristyssivusto, jossa he myyvät ja vuotavat tietoja uhreistaan. Kiristysohjelma yrittää myös poistaa volyymivarjokopioita (VSS) käyttämällä vssadmin.exe delete shadows /all /quiet -komentoa. Asianomaiset tiedostot nimetään uudelleen .crYptA- tai .crYptB-tunnisteilla salauksen jälkeen, ja tämä malli voi ulottua jopa .crYptE:hen aakkosten jälkeen sarjassa laajennuksen viimeisen kirjaimen kanssa. Kiristysohjelma myös viivästyttää hyötykuorman suorittamista piilokomennon kautta: ¬/c TIMEOUT /T.
Kaikki mitä tiedämme CloAk Ransomwaresta
Vahvistettu nimi
- CloAk virus
Uhkatyyppi
- Ransomware
- Kryptovirus
- Tiedostojen kaappi
- Kaksinkertainen kiristys
Salattujen tiedostojen laajennus
- .crYptA
- .crYptB
- .crYptC
- .crYptD
- .crypt
Lunnaita vaativa viesti
- readme_for_unlock.txt
Onko saatavilla ilmaista salauksenpurkuohjelmaa?Ei, CloAk ransomwarelle ei ole julkista salauksen purkuohjelmaa.Jakelumenetelmät
- Sosiaalinen suunnittelu
- Malvertising
- Exploit Kits
- Malvertising
- Remote Desktop Protocol (RDP)
- Varastetut valtakirjat
- Drive-by-lataus
- Piraattiohjelmisto
Seuraukset
- Tiedostot salataan ja lukitaan lunnaiden maksuun asti
- Tietovuoto
- Kaksinkertainen kiristys
Mitä CloAk lunnaita koskevassa setelissä on
Cloak ransomware näyttää lunastusviestin nimeltä readme_for_unlock.txt, joka vaatii maksua vastineeksi salauksen purkuavaimesta. Lunnasviestin tarkoituksena on pelotella uhria maksamaan lunnaat.Esimerkki CloAk-lunnasilmoituksen sisällöstä:
Jos huomaat olevasi kiristysohjelmien uhri, ottamalla yhteyttä SalvageDatan kiristysohjelmien poistoasiantuntijoihin saat turvallisen tietojen palautuspalvelun ja kiristysohjelmien poiston hyökkäyksen jälkeen.
Miten CloAk ransomware saastuttaa koneen tai verkon?
Social Engineering
Tietojenkalastelu on yleisin tapa, jota kiristysohjelmaryhmät käyttävät järjestelmien tartuttamiseen. Hyökkääjä lähettää sähköpostin, joka näyttää olevan laillisesta lähteestä, kuten pankista tai laivayhtiöstä, ja huijaa uhrin napsauttamaan linkkiä tai lataamaan liitteen, joka sisältää kiristysohjelman.
Malvertising ja Exploit Kits
Malvertising on lailliselta näyttävän verkkomainonnan käyttöä haittaohjelmien levittämiseen. Exploit-sarjat ovat valmiiksi pakattuja ohjelmistoja, joita voidaan käyttää järjestelmän haavoittuvuuksien hyödyntämiseen.
Remote Desktop Protocol (RDP)
Hyökkääjät voivat käyttää tunnettuja haavoittuvuuksia tai raakoja hyökkäyksiä päästäkseen järjestelmään RDP:n kautta. Kun heillä on pääsy, he voivat asentaa lunnasohjelmat järjestelmään.
Drive-by-lataukset
Tämä on menetelmä, jossa hyökkääjät saastuttavat verkkosivuston haittaohjelmilla. Kun uhri vierailee verkkosivustolla, haittaohjelma ladataan hänen järjestelmään hänen tietämättään.
Piraattiohjelmisto
Hyökkääjät voivat tartuttaa piraattiohjelmistoja kiristysohjelmilla ja levittää niitä torrent-sivustojen tai muiden tiedostonjakoalustojen kautta.
Miten CloAk lunnasohjelma toimii
Alkuperäinen pääsy
Kybertoimija saa pääsyn verkkoon tai koneeseen eri menetelmillä, kuten sosiaalisen manipuloinnin, haittaohjelmien, exploit kittien, Remote Desktop Protocol (RDP) -protokollan, varastettujen tunnistetietojen, drive-by-latausten tai piraattiohjelmistojen avulla.
Katso myös:Scarab Ransomware: täydellinen opas
Tiedustelu
Kun hyökkääjä pääsee käsiksi, hän etenee tiedusteluun tunnistaakseen kohteen verkon ja laitteet.
Sivusuuntainen liike
Hyökkääjä liikkuu sivusuunnassa verkon poikki päästäkseen kaikkiin laitteisiin ja järjestelmiin.
Eksfiltraatio
Hyökkääjä suodattaa tietoja verkosta tai koneesta, jonka avulla uhri uhkaa maksaa lunnaita.
Ransomwaren käyttöönotto
Hyökkääjä käyttää Cloak ransomware -hyötykuormaa salatakseen uhrin tiedot.
Ransom Demand ja tietovuodot
Kiristysohjelma näyttää uhrille viestin, jossa selitetään, että tiedostot eivät ole käytettävissä ja että niihin pääsee uudelleen vasta maksamalla lunnaat hyökkääjille. Cloak ransomware -ryhmällä on tunnettu kiristyssivusto, jossa he myyvät ja vuotavat tietoja uhreistaan.
Älä maksa lunnaita!Yhteyden ottaminen kiristysohjelmien poistopalveluun voi paitsi palauttaa tiedostosi myös poistaa mahdolliset uhat.
Kuinka käsitellä CloAk-lunnasohjelmahyökkäystä
Ensimmäinen askel CloAk-hyökkäyksestä toipumiseen on eristää tartunnan saanut tietokone katkaisemalla sen yhteys Internetiin ja poistamalla kaikki liitetyt laitteet. Sitten sinun on otettava yhteyttä paikallisiin viranomaisiin. Yhdysvaltojen asukkaiden ja yritysten tapauksessa se onFBI:n paikallinen kenttätoimistojaInternet Crime Complaint Center (IC3).Jos haluat ilmoittaa kiristysohjelmahyökkäyksestä, sinun on kerättävä kaikki mahdolliset tiedot siitä, mukaan lukien:
- Kuvakaappauksia lunnaitavasta
- Viestintä uhkatoimijoiden kanssa (jos sinulla on niitä)
- Esimerkki salatusta tiedostosta
Kuitenkin, jos haluatota yhteyttä ammattilaisiin, tee sitten mitään.Jätä jokainen tartunnan saanut kone sellaiseksi kuin se onja pyydä anlunnasohjelmien hätäpoistopalvelu. Järjestelmän uudelleenkäynnistäminen tai sammuttaminen voi vaarantaa palautuspalvelun. Reaaliaikaisen järjestelmän RAM-muistin kaappaaminen voi auttaa saamaan salausavaimen, ja dropper-tiedoston, eli haitallisen hyötykuorman suorittavan tiedoston, saaminen voi olla käänteistä ja johtaa tietojen salauksen purkamiseen tai sen toiminnan ymmärtämiseen.älä poista lunnasohjelmaaja säilytä kaikki todisteet hyökkäyksestä. Se on tärkeäädigitaalinen rikostekninen tutkimusjotta asiantuntijat voivat jäljittää hakkeriryhmän ja tunnistaa heidät. Viranomaiset voivat käyttää tartunnan saaneessa järjestelmässäsi olevia tietojatutkia hyökkäystä ja löytää syyllinen.Kyberhyökkäyksen tutkinta ei eroa muista rikostutkinnoista: se tarvitsee todisteita hyökkääjien löytämiseksi.
1. Ota yhteyttä hätätilannepalvelun tarjoajaasi
Cyber Incident Response on prosessi, jossa vastataan kyberturvallisuushäiriöön ja sitä hallitaan. Incident Response Retainer on palvelusopimus kyberturvallisuuden tarjoajan kanssa, jonka avulla organisaatiot voivat saada ulkopuolista apua kyberturvallisuushäiriöihin. Se tarjoaa organisaatioille jäsenneltyä asiantuntemusta ja tukea tietoturvakumppanin kautta, mikä mahdollistaa nopean ja tehokkaan reagoinnin kybervälikohtauksen aikana. Häiriövastauksen säilyttäjä tarjoaa organisaatioille mielenrauhaa ja tarjoaa asiantuntijatukea ennen kyberturvallisuushäiriötä ja sen jälkeen. Poikkeustilanteiden reagoinnin säilyttäjän erityinen luonne ja rakenne vaihtelevat palveluntarjoajan ja organisaation vaatimusten mukaan. Hyvän tapaturman reagointivälineen tulee olla vankka mutta joustava ja tarjota todistettuja palveluita organisaation pitkän aikavälin turva-asennon parantamiseksi.Jos otat yhteyttä IR-palveluntarjoajaasi, he voivat ottaa haltuunsa välittömästi ja opastaa sinua kaikissa ransomware-palautuksen vaiheissa.Jos kuitenkin päätät poistaa kiristysohjelman itse ja palauttaa tiedostot IT-tiimisi kanssa, voit seurata seuraavia vaiheita.
2. Tunnista kiristysohjelmatartunta
Voit tunnistaa, mitkä kiristysohjelmat ovat saastuttaneet koneesi tiedostotunnisteen perusteella (jotkin kiristysohjelmat käyttävät tiedostotunnistetta nimekseen),käyttämällä ransomware ID -työkalua, tai se on lunnaita. Näiden tietojen avulla voit etsiä julkista salauksenpurkuavainta. Voit myös tarkistaa kiristyshaittaohjelman tyypin sen IOC:iden perusteella. Indicators of Compromise (IOC) ovat digitaalisia vihjeitä, joita kyberturvallisuusammattilaiset käyttävät tunnistaakseen järjestelmän vaarantumisen ja haitalliset toiminnot verkossa tai IT-ympäristössä. Ne ovat pohjimmiltaan digitaalisia versioita todisteista, jotka jätetään rikospaikalle, ja mahdollisia IOC:itä ovat epätavallinen verkkoliikenne, etuoikeutetut käyttäjien kirjautumiset ulkomailta, omituiset DNS-pyynnöt, järjestelmätiedostomuutokset ja paljon muuta. Kun IOC havaitaan, turvallisuusryhmät arvioivat mahdollisia uhkia tai vahvistavat sen aitouden. IOC:t tarjoavat myös todisteita siitä, mihin hyökkääjällä oli pääsy, jos hän soluttautui verkkoon.
3. Poista kiristysohjelma ja poista hyväksikäyttösarjat
Ennen kuin palautat tietosi, sinun on varmistettava, että laitteessasi ei ole kiristysohjelmia ja että hyökkääjät eivät voi tehdä uutta hyökkäystä hyväksikäyttöpakettien tai muiden haavoittuvuuksien kautta. Kiristysohjelmien poistopalvelu voi poistaa kiristysohjelman, luoda rikosteknisen asiakirjan tutkintaa varten, poistaa haavoittuvuuksia ja palauttaa tietosi.
4. Käytä varmuuskopiota tietojen palauttamiseen
Varmuuskopiointi on tehokkain tapa palauttaa tiedot. Varmista, että varmuuskopioit päivittäin tai viikoittain datankäytöstäsi riippuen.
5. Ota yhteyttä kiristysohjelmien palautuspalveluun
Jos sinulla ei ole varmuuskopiota tai tarvitset apua kiristysohjelman poistamiseen ja haavoittuvuuksien poistamiseen, ota yhteyttä tietojen palautuspalveluun. Lunnaiden maksaminen ei takaa, että tietosi palautetaan sinulle. Ainoa taattu tapa palauttaa jokainen tiedosto on, jos sinulla on varmuuskopio. Jos et, ransomware-tietojen palautuspalvelut voivat auttaa sinua purkamaan ja palauttamaan tiedostot. SalvageData-asiantuntijat voivat palauttaa tiedostosi turvallisesti ja estää CloAk-lunnasohjelmia hyökkäämästä verkkoosi uudelleen. Ota yhteyttä asiantuntijoihimme 24/7 saadaksesi ransomware-palautuspalveluita.
Estä CloAk ransomware -hyökkäys
Kiristysohjelmien estäminen on paras ratkaisu tietoturvaan. on helpompaa ja halvempaa kuin niistä toipuminen. CloAk-lunnasohjelmat voivat maksaa yrityksesi tulevaisuuden ja jopa sulkea sen ovensa. Nämä ovat muutamia vinkkejä, joiden avulla voit varmistaa, ettävälttää lunnasohjelmahyökkäyksiä:
- Pidä omasi käyttöjärjestelmä ja ohjelmisto ovat ajan tasallauusimmilla tietoturvakorjauksilla ja -päivityksillä. Tämä voi auttaa estämään haavoittuvuuksia, joita hyökkääjät voivat hyödyntää.
- Käytä vahvoja ja ainutlaatuisia salasanojakaikille tileille ja ota kaksivaiheinen todennus käyttöön aina kun mahdollista. Tämä voi auttaa estämään hyökkääjiä pääsemästä tiliisi.
- Varo epäilyttäviä sähköposteja, linkkejä ja liitteitä.Älä avaa sähköposteja tai napsauta tuntemattomista tai epäilyttävistä lähteistä peräisin olevia linkkejä tai liitteitä.
- Käytä hyvämaineisia virus- ja haittaohjelmien torjuntaohjelmistojaja pidä se ajan tasalla. Tämä voi auttaa havaitsemaan ja poistamaan haittaohjelmat ennen kuin ne voivat aiheuttaa vahinkoa.
- Käytä palomuuriaestääksesi luvattoman pääsyn verkkoosi ja järjestelmiisi.
- Verkon segmentointijakaa suurempi verkko pienempiin aliverkkoihin, joiden välillä on rajoitettu yhteenliitettävyys. Se rajoittaa hyökkääjien sivuttaisliikettä ja estää luvattomia käyttäjiä pääsemästä organisaation immateriaalioikeuksiin ja tietoihin.
- Rajoita käyttäjän oikeuksiaestääkseen hyökkääjiä pääsemästä arkaluontoisiin tietoihin ja järjestelmiin.
- Kouluta työntekijöitä ja henkilökuntaakuinka tunnistaa ja välttää tietojenkalasteluviestit ja muut manipulointihyökkäykset.
