MedusaLocker Ransomware: täydellinen opas

MedusaLockerin kiristysohjelma havaittiin ensimmäisen kerran syyskuussa 2019, ja se on sittemmin tartuttanut ja salannut järjestelmiä useilla sektoreilla ensisijaisesti terveydenhuoltosektorilla. MedusaLockerin toimijat luottavat pääasiassa etäpalvelujen haavoittuvuuksiin päästäkseen uhrien verkkoihin. Näyttelijät käyttävät palveluja, kuten RDP, PsExec ja SMB tartuttaakseen muita isäntiä uhrin verkossa.

SalvageDatan asiantuntijat suosittelevat ennakoivia tietoturvatoimenpiteitä, kuten säännöllistä varmuuskopiointia, vahvoja kyberturvallisuuskäytäntöjä ja ohjelmistojen pitämistä ajan tasalla suojatakseen kiristysohjelmahyökkäyksiä. Ja,ransomware-hyökkäyksen sattuessa ota välittömästi yhteyttä kiristysohjelmien palautusasiantuntijoihimme.

Katso myös:MEOW Ransomware: Täydellinen opas

Millainen haittaohjelma MedusaLocker on?

MedusaLocker on lunnasohjelma, jonka on tiedetty kohdistuvan useisiin organisaatioihin, erityisesti terveydenhuolto- ja lääkeyhtiöihin. Se toimii Ransomware-as-a-Service (RaaS) -mallina, joka perustuu havaittuun lunnaiden maksujen jakautumiseen. Vaikka sillä on samanlainen nimi, ei ole selvää näyttöä siitä, että MedusaLockerilla olisi mitään yhteyttä Medusa ransomware -ohjelmaan.

Kaikki mitä tiedämme MedusaLocker lunnasohjelmista

Vahvistettu nimi

• MedusaLocker virus

Uhkatyyppi

• Ransomware
• Kryptovirus
• Tiedostojen kaappi
• Kaksinkertainen kiristys

Onko saatavilla ilmaista salauksenpurkuohjelmaa?Ei, MedusaLockerin kiristysohjelmille ei ole julkista salauksen purkuohjelmaa.Jakelumenetelmät

• Tietojenkalasteluviestit
• Etäpalvelut

Seuraukset

• Tiedostot on salattu ja lukittu
• Tietovuoto
• Kaksinkertainen kiristys

Mitä MedusaLockerin lunnaita koskevassa setelissä on

Lunnaslappu sijoitetaan jokaiseen kansioon, ja siinä kuvataan kuinka kommunikoida hyökkääjien kanssa ja maksaa lunnaat Bitcoinissa. Se myös varoittaa uhreja nimeämästä uudelleen, muokkaamasta tai yrittämästä purkaa salattuja tiedostoja käyttämällä kolmannen osapuolen salauksenpurkuohjelmia ja ilmoittaa, että se vahingoittaisi niitä pysyvästi, ja neuvoo olemaan muuttamatta tai nimeämättä uudelleen salattuja tiedostoja.

Jos huomaat olevasi kiristysohjelmien uhri, ottamalla yhteyttä SalvageDatan kiristysohjelmien poistoasiantuntijoihin saat turvallisen tietojen palautuspalvelun ja kiristysohjelmien poiston hyökkäyksen jälkeen.

MedusaLocker ransomware menetelmiä tartunta ja salaus

MedusaLocker ransomware käyttää erilaisia ​​tekniikoita levittääkseen ja tartuttaakseen muita uhrin verkon isäntiä.

• Etäpalvelut: MedusaLocker ransomware käyttää etäpalveluita, kuten Remote Desktop Protocol (RDP), PsExec ja Server Message Block (SMB).
• Tietojenkalastelukampanjat: MedusaLocker-lunnasohjelmat voivat päästä verkkoihin myös tietojenkalastelukampanjoiden kautta, joissa haittaohjelma liitetään sähköposteihin.

Kun MedusaLocker ransomware pääsee verkkoon, se noudattaa tyypillistä kiristysohjelmahyökkäyksen elinkaarta ja estää uhreja pääsemästä tietoihinsa. Se salaa uhrin tiedot käyttämällä AES:n ja RSA-2048:n yhdistelmää. MedusaLocker vahvistaa pysyvyyttä entisestään poistamalla paikalliset varmuuskopiot, poistamalla käynnistyksen palautuksen käytöstä ja lopulta sijoittamalla lunnaat jokaiseen kansioon, joka sisältää tiedoston, jossa on vaarantuneen isännän salattuja tietoja.

Älä noudata lunnaita koskevaa vaatimusta!Ota yhteyttä paikallisiin viranomaisiin ja kiristysohjelmien poistopalveluun tiedostojen palauttamiseksi ja mahdollisten uhkien poistamiseksi.

Tunnetut MedusaLocker ransomware IOC:t

IOC tarkoittaa "Indicator of Compromise" kyberturvallisuuden yhteydessä. Se on rikostekninen termi, joka viittaa laitteessa oleviin todisteisiin, jotka osoittavat tietoturvaloukkauksen. Vaikka IOC:n tiedot kerätään epäilyttävän tapahtuman, tietoturvatapahtuman tai verkon odottamattomien kutsujen jälkeen, on hyvä kyberturvallisuuskäytäntö tarkistaa IOC-tiedot säännöllisesti epätavallisten toimintojen ja haavoittuvuuksien havaitsemiseksi. IOC sisältää tiedostopäätteet, IP-osoitteet, tiedostojen tiivisteet, sähköpostiosoitteet, maksulompakot ja lunnaita koskevien tiedostojen nimet. Koska MedusaLocker on RaaS, sen IOC-arvot vaihtelevat muunnelman ja sitä käyttävän kyberrikollisjoukon mukaan.CISA:n MedusaLocker-neuvontasisältää myös seuraavat IOC:t:Tunnetut lunnaat tiedostojen nimet:

• how_to_ recovery_data.html
• how_to_recover_data.html.marlock01
• ohjeet.html
• LUE OHJEET.html
• !!!HOW_TO_DECRYPT!!!.

Tunnetut salatut tiedostopäätteet:

• .1btc
• .matlock20
• .lueohjeet
• .bec
• .mylock
• .deadfilesgr
• .lock-tiedostot
• .tyco
• .fileslock
• .zoomzoom
• .marlock08
• .marlock25

Kuinka käsitellä MedusaLocker lunnasohjelmahyökkäystä

Ensimmäinen askel MedusaLocker-hyökkäyksestä toipumiseen on eristää tartunnan saanut tietokone katkaisemalla Internet-yhteys ja poistamalla kaikki liitetyt laitteet. Sitten sinun on otettava yhteyttä paikallisiin viranomaisiin. Yhdysvaltojen asukkaiden ja yritysten tapauksessa se onFBIjaInternet Crime Complaint Center (IC3).Jos haluat ilmoittaa kiristysohjelmahyökkäyksestä, sinun on kerättävä kaikki mahdolliset tiedot siitä, mukaan lukien:

• Kuvakaappauksia lunnaitavasta
• Viestintä uhkatoimijoiden kanssa (jos sinulla on niitä)
• Esimerkki salatusta tiedostosta

Kuitenkin, jos haluatota yhteyttä ammattilaisiin, niin se on parastajätä jokainen tartunnan saanut kone sellaiseksi kuin se onja pyydä anlunnasohjelmien hätäpoistopalvelu. Nämä ammattilaiset ovat valmiita lieventämään nopeasti vahinkoa, keräämään todisteita, mahdollisesti kumoamaan salauksen ja palauttamaan järjestelmän.

Järjestelmän uudelleenkäynnistäminen tai sammuttaminen voi vaarantaa järjestelmän palautumisen. Reaaliaikaisen järjestelmän RAM-muistin kaappaaminen voi auttaa saamaan salausavaimen, ja dropper-tiedoston, eli haitallista hyötykuormaa suorittavan tiedoston, talteenotto voi auttaa itse salauksen kääntämisessä ja johtaa tietojen salauksen purkamiseen tai sen toiminnan parempaan ymmärtämiseen.

1. Ota yhteyttä hätätilannepalvelun tarjoajaasi

Cyber ​​Incident Response on prosessi, jossa vastataan kyberturvallisuushäiriöön ja sitä hallitaan. Incident Response Retainer on palvelusopimus kyberturvallisuuden tarjoajan kanssa, jonka avulla organisaatiot voivat saada ulkopuolista apua kyberturvallisuushäiriöihin. Se tarjoaa organisaatioille jäsenneltyä asiantuntemusta ja tukea tietoturvakumppanin kautta, mikä mahdollistaa nopean ja tehokkaan reagoinnin kybervälikohtauksen aikana. Häiriövastauksen säilyttäjä tarjoaa organisaatioille mielenrauhaa ja tarjoaa asiantuntijatukea ennen kyberturvallisuushäiriötä ja sen jälkeen. Poikkeustilanteiden reagoinnin säilyttäjän erityinen luonne ja rakenne vaihtelevat palveluntarjoajan ja organisaation vaatimusten mukaan. Hyvän tapaturman reagointivälineen tulee olla vankka mutta joustava ja tarjota todistettuja palveluita organisaation pitkän aikavälin turva-asennon parantamiseksi.Jos otat yhteyttä IR-palveluntarjoajaasi, he voivat ottaa haltuunsa välittömästi ja opastaa sinua kaikissa ransomware-palautuksen vaiheissa.Jos kuitenkin päätät poistaa kiristysohjelman itse ja palauttaa tiedostot IT-tiimisi kanssa, voit seurata seuraavia vaiheita.

2. Tunnista kiristysohjelmatartunta

Voit tunnistaa, mitkä kiristysohjelmat ovat saastuttaneet koneesi tiedostotunnisteen perusteella (jotkin kiristysohjelmat käyttävät tiedostotunnistetta nimekseen),käyttämällä ransomware ID -työkalua, tai se on lunnaita. Näiden tietojen avulla voit etsiä julkista salauksenpurkuavainta.

3. Poista kiristysohjelma ja poista hyväksikäyttösarjat

Ennen kuin palautat tietosi, sinun on varmistettava, että laitteessasi ei ole kiristysohjelmia ja että hyökkääjät eivät voi tehdä uutta hyökkäystä hyväksikäyttöpakettien tai muiden haavoittuvuuksien kautta. Kiristysohjelmien poistopalvelu voi poistaa kiristysohjelman, luoda rikosteknisen asiakirjan tutkintaa varten, poistaa haavoittuvuuksia ja palauttaa tietosi.

4. Käytä varmuuskopiota tietojen palauttamiseen

Varmuuskopioinnin merkitystä tietojen palauttamisessa ei voi liioitella, varsinkin kun otetaan huomioon erilaiset mahdolliset riskit ja uhat tietojen eheydelle. Varmuuskopiot ovat tärkeä osa kattavaa tietosuojastrategiaa. Ne tarjoavat keinon toipua erilaisista uhista, varmistaa toiminnan jatkuvuuden ja säilyttää arvokasta tietoa. Kiristysohjelmahyökkäyksiä vastaan, joissa haittaohjelmat salaavat tietosi ja vaativat maksua niiden julkaisemisesta, varmuuskopion avulla voit palauttaa tietosi ilman hyökkääjän vaatimuksia. Varmista, että testaat ja päivität varmuuskopiointimenettelysi säännöllisesti, jotta ne suojaavat tehokkaasti mahdollisilta tietojen katoamisskenaarioilta. Varmuuskopion tekemiseen on useita tapoja, joten sinun on valittava oikea varmuuskopiointiväline ja oltava vähintään yksi kopio tiedoistasi tallennettuna off-site-tilassa ja offline-tilassa.

5. Ota yhteyttä kiristysohjelmien palautuspalveluun

Jos sinulla ei ole varmuuskopiota tai tarvitset apua haittaohjelmien poistamiseen ja haavoittuvuuksien poistamiseen, ota yhteyttä tietojen palautuspalveluun. Lunnaiden maksaminen ei takaa, että tietosi palautetaan sinulle. Ainoa taattu tapa palauttaa jokainen tiedosto on, jos sinulla on varmuuskopio. Jos et, ransomware-tietojen palautuspalvelut voivat auttaa sinua purkamaan ja palauttamaan tiedostot.SalvageData-asiantuntijat voivat palauttaa tiedostosi turvallisesti ja estää MedusaLockerin kiristysohjelmia hyökkäämästä verkkoosi uudelleen. Ota yhteyttä palautusasiantuntijoihimme 24/7. Mitä EI pidä tehdä kiristysohjelmahyökkäyksen jälkeenSinun onälä poista lunnasohjelmaaja säilytä kaikki todisteet hyökkäyksestä. Se on tärkeäädigitaalinen rikostekninen tutkimusjotta asiantuntijat voivat jäljittää hakkeriryhmän ja tunnistaa heidät. Viranomaiset voivat käyttää tartunnan saaneessa järjestelmässäsi olevia tietojatutkia hyökkäystä ja löytää syyllinen.Kyberhyökkäyksen tutkinta ei eroa muista rikostutkinnoista: se tarvitsee todisteita hyökkääjien löytämiseksi.

Estä MedusaLocker ransomware -hyökkäys

Kiristysohjelmien estäminen on paras ratkaisu tietoturvaan, koska se on helpompaa ja halvempaa kuin hyökkäyksistä toipuminen. MedusaLocker-lunnasohjelmat voivat maksaa yrityksesi tulevaisuudelle ja jopa sulkea sen ovensa.Näillä ennakoivilla toimilla yksityishenkilöt ja organisaatiot voivat vähentää MedusaLocker-lunnasohjelmahyökkäyksen riskiä ja suojata tietonsa salaukselta ja lunnaita varten. Nämä ovat muutamia vinkkejä, joiden avulla voit välttää kiristysohjelmahyökkäykset:

• Kouluta työntekijöitäkyberturvallisuudesta ja tietojenkalastelutietoisuudesta auttaakseen heitä tunnistamaan tietojenkalasteluyritykset ja välttämään ne.
• Toteuta turvatoimenpiteet, kuten palomuurit, virustentorjuntaohjelmistot ja tunkeutumisen havaitsemisjärjestelmät haitallisen liikenteen havaitsemiseen ja estämiseen.
• Pysy valppaanaja tarkkaile verkon toimintaa epäilyttävän toiminnan merkkien varalta.
• Pidä ohjelmistot ajan tasallauusimmilla tietoturvakorjauksilla estämään lunnasohjelmia hyödyntämästä korjaamattomia haavoittuvuuksia.
• Ota käyttöön vahva pääsynhallinta,kuten monitekijätodennus ja säännöllinen valtuustietojen valvonta, jotta estetään kiristyshaittaohjelmien operaattorit pääsemästä järjestelmiin varastetuilla tai heikkoilla tunnistetiedoilla.
• Suojaa hallitsemattomat laitteet ja BYOD-käytännötottamalla käyttöön turvatoimia, kuten laitteen salauksen ja etäpyyhkimisominaisuudet.
• Tarkista ja korjaa säännöllisesti Internetiin päin olevat sovelluksetestääkseen kiristysohjelmien operaattoreita hyödyntämästä haavoittuvuuksia.