MalasLocker on uusi kiristysohjelmaryhmä, joka syntyi maaliskuussa 2023 ja kohdistuu Zimbra-palvelimien haavoittuvuuksiin. Ryhmä käyttää Age-salausta, joka on tunnetun kryptografin Filippo Valsordan kehittämä harvinainen salaustekniikka. MalasLockerin jättämä lunnaat vaativat epätavallista lunnaita: rahallisen maksun sijaan uhreja pyydetään lahjoittamaan mille tahansa hyväksytylle voittoa tavoittelemattomalle hyväntekeväisyysjärjestölle ja lähettämään vahvistussähköposti hyökkääjille. Myös hakkeriryhmän manifestissa väitetään, etteivät he hyökkää Latinalaisen Amerikan maita vastaan. Ryhmä on koonnut luettelon 169 uhrista, jotka he luokittelivat "Defaulters" -kategoriaan ja uhkaa vuotaa tiedot, jos vaatimuksia ei täytetä. MalasLocker näyttää valitsevan uhrit satunnaisesti, eikä ole todisteita siitä, että heidän salauksenpurkupalvelunsa olisi turvallinen käyttää.FAQ: Jos se on hyväntekeväisyyttä, onko turvallista noudattaa lunnaita koskevassa muistiossa olevia ohjeita tietojen salauksen purkamiseksi?Vaikka uhrien pakottaminen lahjoittamaan rahaa voittoa tavoittelemattomille järjestöille saattaa tuntua hyväntekeväisyydeltä Robin Hoodin kaltaiselta toimintatavalta, uhkatoimijan vaatimusten noudattamiseen liittyy samat riskit kuin mihin tahansa muihin kiristysohjelmiin: salauksen onnistumisesta tai siitä, ettei tietoja vuoda, ei ole takeita,ransomware-hyökkäykset ovat edelleen rikollisia ja niiden vaatimusten noudattaminen tukee heidän toimintaansa, ja niillä on edelleen mahdollisia oikeudellisia seurauksia ja eettisiä näkökohtia.SalvageDatan asiantuntijat suosittelevat ennakoivia tietoturvatoimenpiteitä, kuten säännöllistä varmuuskopiointia, vahvoja kyberturvallisuuskäytäntöjä ja ohjelmistojen pitämistä ajan tasalla suojatakseen kiristysohjelmahyökkäyksiä. Ja MalasLockerin kiristysohjelmahyökkäyksen sattuessa ota välittömästi yhteyttä kiristysohjelmien palautusasiantuntijoihimme.
Millainen haittaohjelma MalasLocker on?
MalasLocker on lunnasohjelma, joka on eräänlainen haittaohjelma, joka salaa ja lukitsee uhrien tiedostot ja pyytää sitten lunnaita vastineeksi salauksen purkuavaimesta. Ryhmä saa pääsyn palvelimiin lähettämällä haitallisia JSP-asiakirjoja sisältäviä tietojenkalasteluviestejä Zimbran käyttäjille. Kun palvelin on murtunut, MalasLocker salaa tiedot AGE-salauksella. AGE-salaus on moderni tiedostojen salaustyökalu, jonka on kehittänyt Filippo Valsorda, tunnettu salakirjoittaja ja Go-tietoturvajohtaja Googlella. Kaiken kaikkiaan Age-salaus on yksinkertainen, moderni ja turvallinen tiedostojen salaustyökalu, joka tarjoaa keinon suojata arkaluonteisia tietoja luvattomalta käytöltä. AGE-salausta käyttävä MalasLocker on epätavallinen, koska lunnasohjelmat käyttävät yleensä yhdistelmää symmetrisiä ja epäsymmetrisiä salausalgoritmeja.
Kaikki mitä tiedämme MalasLocker Ransomwaresta
Vahvistettu nimi
- LazyLocker virus
Uhkatyyppi
- Ransomware
- Kryptovirus
- Tiedostojen kaappi
- Kaksinkertainen kiristys
Salattujen tiedostojen laajennus
- Ei mitään. Sen sijaan, että lisäisi uuden tiedostotunnisteen salatuille tiedostoille, MalasLoker ransomware lisää viestin: "Tämä tiedosto on salattu, etsi salauksen purkuohjeet osoitteesta README.txt" jokaiseen salattuun tiedostoon.
Lunnaita vaativa viesti
- README.txt
Onko saatavilla ilmaista salauksenpurkuohjelmaa?Ei, MalasLocker ransomwarella ei ole salauksen purkajaaHavaitsemisen nimet
- AvastMuu: Haittaohjelmasuku [Trj]
- AVGMuu: Haittaohjelmasuku [Trj]
- EmsisoftTrojan.JSP.Agent.D (B)
- KasperskyHEUR:Backdoor.Java.JSP.gen
- MicrosoftTroijalainen: Java/Malgent!MSR
Ransomware-perhe, tyyppi ja muunnelma
- MalasLocker on ransomware-perhe
Jakelumenetelmät
Lisätietoja:DarkRace Ransomware: Kuinka pysyä turvassa
- Zimbra-palvelimien haavoittuvuus
- Tietojenkalasteluviestit
Seuraukset
- Tiedostot salataan ja lukitaan lunnaiden maksuun asti
- Tietovuoto
- Salatut tiedostot
- Epäilyttävät JSP-tiedostot
- Lunnasilmoitus nimeltä README.txt tartunnan saaneessa koneessa
Kuinka löytää MalasLocker ransomware lunnasilmoitus
MalasLocker vaatii lahjoitusta valitsemalleen voittoa tavoittelemattomalle hyväntekeväisyysjärjestölle lunnaita koskevassa setelissä. Tämä epätavallinen lunnaat antoi MalasLocker-näyttelijöille nimimerkin "Robin Hood". MalasLockerin uhrien ei kuitenkaan pitäisi langeta hyväntekeväisyyteen, koska ei ole todisteita siitä, että he todella lahjoittaisivat lunnaat. MalasLocker-lunnasohjelman vaatimille voittoa tavoittelemattomille hyväntekeväisyysjärjestöille lahjoittamiseen liittyy tiettyjä riskejä, kuten takuun puute, rikollisen toiminnan tukeminen, mahdolliset oikeudelliset seuraukset, tietovuoto ja eettiset näkökohdat. Lunnasmuistiinpanossa on hyökkääjän sähköpostiosoite tai TOR-sivustolinkki, joka näyttää uusimman sähköpostiosoitteen, jolla hyökkääjiin voi ottaa yhteyttä. Se uhkaa myös vuotaa tiedot, jos vaatimuksia ei täyty.Tämä on esimerkki MalasLockerin lunnaista:
Kuinka MalasLocker saastuttaa järjestelmän
MalasLocker lunnasohjelma saastuttaa järjestelmän murtamalla Zimbra-palvelimia. Uhrit ovat ilmoittaneet löytäneensä epäilyttäviä JSP-tiedostoja tartunnan saaneilta palvelimilta. MalasLockerin uskotaan kohdistuvan Zimbra-palvelimiin tietojenkalasteluviestien kautta, joissa haitallisia JSP-dokumentteja lähetetään Zimbran käyttäjille.
Kuinka MalasLocker lunnasohjelma toimii
Kun järjestelmä on vaarantunut, MalasLocker salaa sähköpostit ja tiedostot Age-salaustyökalulla. Ikäsalauksessa käytetään edistyneitä algoritmeja, kuten X25519 (ECDH-käyrä), ChaCha20-Poly1305 ja HMAC-SHA2562. Kiristysohjelmat käyttävät tätä salausmenetelmää harvoin, mikä tekee MalasLockerista ainutlaatuisen lähestymistavassa. On tärkeää huomata, että MalasLocker on kohdistettu erityisesti muihin kuin Windows-järjestelmiin, kuten Zimbra-palvelimiin. Ryhmä esittelee itsensä "hacktivistisena" kiristysohjelman muunnelmana, jonka tavoitteena on suodattaa arkaluontoiset sähköpostit ja salata tiedostoja. Ei kuitenkaan ole todisteita heidän salauksenpurkupalvelun turvallisuudesta tai tehokkuudesta. Yhteyden ottaminen kiristysohjelmien poistopalveluun voi paitsi palauttaa tiedostosi, myös poistaa mahdolliset uhat.
Kuinka käsitellä MalasLocker lunnasohjelmahyökkäystä
Tärkeää:Ensimmäinen askel MalasLockerin IOC:iden tunnistamisen jälkeen on turvautua tapaturmien reagointisuunnitelmaan (IRP). Ihannetapauksessa sinulla on Incident Response Retainer (IRR), jossa on luotettava ammattilaistiimi, johon voidaan ottaa yhteyttä 24/7/365, ja he voivat ryhtyä välittömiin toimiin, jotka estävät tietojen katoamisen ja auttavat sinua selviytymään kaikista oikeudellisista vastuista.
Parhaan tietomme mukaan tämän artikkelin julkaisuhetkellä käytettävissämme olevien tietojen perusteella kiristysohjelmien palautusasiantuntijoiden ensimmäinen askel on eristää tartunnan saanut tietokone poistamalla kaikki liitetyt laitteet. Samalla tämä tiimi auttaa sinua ottamaan yhteyttä maasi paikallisiin viranomaisiin. Yhdysvaltojen asukkaiden ja yritysten tapauksessa se onFBI:n paikallinen kenttätoimistojaInternet Crime Complaint Center (IC3).Jos haluat ilmoittaa kiristysohjelmahyökkäyksestä, sinun on kerättävä kaikki mahdolliset tiedot siitä, mukaan lukien:
- Kuvakaappauksia lunnaitavasta
- Viestintä uhkatoimijoiden kanssa (jos sinulla on niitä)
- Esimerkki salatusta tiedostosta
Kuitenkin, jos haluatota yhteyttä ammattilaisiin, tee sitten mitään.Jätä jokainen tartunnan saanut kone sellaiseksi kuin se onja pyydä anlunnasohjelmien hätäpoistopalvelu. Järjestelmän uudelleenkäynnistäminen tai sammuttaminen voi vaarantaa palautuspalvelun. Reaaliaikaisen järjestelmän RAM-muistin kaappaaminen voi auttaa saamaan salausavaimen, ja dropper-tiedoston, eli haitallista hyötykuormaa suorittavan tiedoston, saaminen voi olla käänteistä ja johtaa tietojen salauksen purkamiseen tai sen toiminnan ymmärtämiseen. Jos sinulla ei kuitenkaan ole IRP- tai IRR-järjestelmää, voit siltiota yhteyttä kiristysohjelmien poisto- ja palautusalan ammattilaisiin. Tämä on paras tapa toimia, ja se lisää huomattavasti mahdollisuuksia onnistuneesti poistaa kiristysohjelma, palauttaa tiedot ja estää tulevat hyökkäykset. Suosittelemme, ettäjätä kaikki tartunnan saaneet koneet sellaisiksi kuin ne ovatja soita anlunnasohjelmien hätäpalautuspalvelu.
1. Ota yhteyttä hätätilannepalvelun tarjoajaasi
Cyber Incident Response on prosessi, jossa vastataan kyberturvallisuushäiriöön ja sitä hallitaan. Incident Response Retainer on palvelusopimus kyberturvallisuuden tarjoajan kanssa, jonka avulla organisaatiot voivat saada ulkopuolista apua kyberturvallisuushäiriöihin. Se tarjoaa organisaatioille jäsenneltyä asiantuntemusta ja tukea tietoturvakumppanin kautta, mikä mahdollistaa nopean ja tehokkaan reagoinnin kybervälikohtauksen sattuessa. Häiriövastauksen säilyttäjä tarjoaa organisaatioille mielenrauhan ja tarjoaa asiantuntijatukea ennen kyberturvallisuushäiriötä ja sen jälkeen. Poikkeustilanteen reagointivaraston luonne ja rakenne vaihtelevat palveluntarjoajan ja organisaation vaatimusten mukaan. Hyvän tapaturmavastauksen säilyttäjän tulee olla vankka, mutta joustava ja tarjota todistettuja palveluja, jotka parantavat organisaation pitkän aikavälin turvallisuusasentoa. Jos otat yhteyttä IR-palveluntarjoajaasi, he huolehtivat kaikesta muusta. Jos kuitenkin päätät poistaa kiristysohjelman ja palauttaa tiedostot IT-tiimisi kanssa, voit seurata seuraavia vaiheita.
2. Tunnista kiristysohjelmatartunta
Voit tunnistaa, mitkä kiristysohjelmat ovat saastuttaneet koneesi tiedostotunnisteen perusteella (jotkin kiristysohjelmat käyttävät tiedostotunnistetta nimekseen),käyttämällä ransomware ID -työkalua, tai se on lunnaita. Näiden tietojen avulla voit etsiä julkista salauksenpurkuavainta. Voit myös tarkistaa kiristyshaittaohjelman tyypin sen IOC:iden perusteella. Indicators of Compromise (IOC) ovat digitaalisia vihjeitä, joita kyberturvallisuusammattilaiset käyttävät tunnistaakseen järjestelmän vaarantumisen ja haitalliset toiminnot verkossa tai IT-ympäristössä. Ne ovat pohjimmiltaan digitaalisia versioita todisteista, jotka jätetään rikospaikalle, ja mahdollisia IOC:itä ovat epätavallinen verkkoliikenne, etuoikeutetut käyttäjien kirjautumiset ulkomailta, omituiset DNS-pyynnöt, järjestelmätiedostomuutokset ja paljon muuta. Kun IOC havaitaan, turvallisuusryhmät arvioivat mahdollisia uhkia tai vahvistavat sen aitouden. IOC:t tarjoavat myös todisteita siitä, mihin hyökkääjällä oli pääsy, jos hän soluttautui verkkoon.
3. Poista kiristysohjelma ja poista hyväksikäyttösarjat
Ennen kuin palautat tietosi, sinun on varmistettava, että laitteessasi ei ole kiristysohjelmia ja että hyökkääjät eivät voi tehdä uutta hyökkäystä hyväksikäyttöpakettien tai muiden haavoittuvuuksien kautta. Kiristysohjelmien poistopalvelu voi poistaa kiristysohjelman, luoda rikosteknisen asiakirjan tutkintaa varten, poistaa haavoittuvuuksia ja palauttaa tietosi.
4. Käytä varmuuskopiota tietojen palauttamiseen
Varmuuskopiointi on tehokkain tapa palauttaa tiedot. Varmista, että varmuuskopioit päivittäin tai viikoittain datankäytöstäsi riippuen.
5. Ota yhteyttä kiristysohjelmien palautuspalveluun
Jos sinulla ei ole varmuuskopiota tai tarvitset apua kiristysohjelman poistamiseen ja haavoittuvuuksien poistamiseen, ota yhteyttä tietojen palautuspalveluun. Uhkatoimijoiden vaatimusten noudattaminen ei takaa, että tietosi palautetaan sinulle. Ainoa taattu tapa palauttaa jokainen tiedosto on, jos sinulla on siitä varmuuskopio. Jos et, ransomware-tietojen palautuspalvelut voivat auttaa sinua purkamaan ja palauttamaan tiedostot.SalvageData-asiantuntijat voivat palauttaa tiedostosi turvallisesti ja estää MalasLockerin kiristysohjelmia hyökkäämästä verkkoosi uudelleen. Ota yhteyttä asiantuntijoihimme 24/7 hätäpalautuspalvelua varten.
Estä MalasLocker ransomware -hyökkäys
Kiristysohjelmien estäminen on paras ratkaisu tietoturvaan. on helpompaa ja halvempaa kuin niistä toipuminen. MalasLocker-lunnasohjelmat voivat maksaa yrityksesi tulevaisuuden ja jopa sulkea sen ovensa. Nämä ovat muutamia vinkkejä, joiden avulla voit varmistaa, ettävälttää lunnasohjelmahyökkäyksiä:
- Asenna virus- ja haittaohjelmien torjuntaohjelmisto.
- Käytä luotettavia kyberturvaratkaisuja.
- Käytä vahvoja ja turvallisia salasanoja.
- Pidä ohjelmistot ja käyttöjärjestelmät ajan tasalla.
- Ota palomuurit käyttöön lisäsuojan saamiseksi.
- Luo tietojen palautussuunnitelma.
- Ajoita varmuuskopioinnit säännöllisesti tietojesi suojaamiseksi.
