LockBit Green Ransomware: A teljes útmutató

A LockBit Green a LockBit ransomware új változata, amelyről először a VX-Underground kiberbiztonsági csoport számolt be. Ennek alapja aa Conti ransomware kiszivárgott forráskódjaés a felhőalapú szolgáltatásokat célozza meg.A LockBit Green a LockBit ransomware harmadik verziója, a korábbi változatokat LockBit Red és LockBit Black néven követi nyomon. A LockBit RaaS banda kiadta a LockBit Greent, amely a LockBit portál építő funkciójával elérhető leányvállalataik számára. A banda módosította őketVMware ESXI ransomware változat, amely a VMware által virtuális gépek telepítésére és kiszolgálására kifejlesztett, vállalati szintű, 1-es típusú hipervizor. A SalvageData szakértői proaktív adatbiztonsági intézkedéseket javasolnak, mint például a rendszeres biztonsági mentések, az erős kiberbiztonsági gyakorlatok és a szoftverek naprakészen tartása a ransomware támadások elleni védelem érdekében. És,ransomware támadás esetén lépjen kapcsolatba velünkransomware helyreállítási szakértőkazonnal.

Milyen rosszindulatú program a LockBit Green?

A LockBit Green egy ransomware néven ismert rosszindulatú program, amely titkosítja az áldozatok adatait, majd váltságdíjat követel, amelyet általában kriptovalutában fizetnek a visszafejtőért cserébe. A LockBit Green új Conti-alapú titkosítót használ. A zsarolóprogram titkosítja az áldozat adatait, és az összes titkosított fájl fájlnevéhez véletlenszerű kiterjesztést fűz. A titkosítási folyamat automatikus, és a Windows-tartományokban lévő eszközöket célozza meg. Az AES-kulcsot a BCryptGenRandom segítségével állítják elő, és a gyorsabb titkosítás érdekében csak a fájl első 4 KB-ját titkosítja, és véletlenszerű kiterjesztésekhez fűzi hozzá. A zsarolóprogramot általában a parancssoron keresztül hajtják végre, mivel elfogadja a fájl útvonalak vagy könyvtárak paramétereit, ha csak bizonyos elérési utak titkosítását kívánja.

Minden, amit a LockBit Green Ransomware-ről tudunk

Megerősített név

• LockBit Green vírus

Fenyegetés típusa

• Ransomware
• Kriptovírus
• Fájlszekrény
• Kettős zsarolás

Titkosított fájlok kiterjesztés

• Véletlenszerű kiterjesztés

Váltságdíjat követelő üzenet

• !!!-Restore-My-Files-!!!.txt

Észlelési nevek

• AvastWin32:Conti-B [Ransom]

• AVGWin32:Conti-B [Ransom]

• EmsisoftGen: Variant.Ser.Zusy.4033 (B)

• MalwarebytesGeneric.Ransom.FileCryptor.DDS

• KasperskyUDS:DangerousObject.Multi.Generic

• SophosMal/Generic-S

• MicrosoftVáltságdíj:Win32/Conti.AD!MTB

Elosztási módszerek

• Adathalász e-mailek
• Kompromittált szerverek.
• Brute Forcing VPN hitelesítő adatok
• Sebezhetőségek kihasználása.
• Social Engineering
• Rosszindulatú hirdetések és webhelyek
• Remote Desktop Protocol (RDP) kihasználása
• Ellátási lánc támadások

Következmények

Lásd még:BlackSuit Ransomware: A teljes útmutató

• A fájlok titkosítva vannak, és a váltságdíj kifizetéséig zárolva vannak
• Adatszivárgás
• Kettős zsarolás

Elérhető ingyenes visszafejtő?

Nem.Jelenleg nem áll rendelkezésre ismert nyilvános dekódoló a LockBit Green ransomware számára.

Melyek a LockBit Green ransomware IOC-jai?

A kompromisszumjelzők (IOC) olyan műtermékek, amelyeket a hálózaton vagy egy operációs rendszerben figyeltek meg, amelyek nagy biztonsággal jelzik a számítógépes behatolást. Az IOC-k felhasználhatók a jövőbeli támadási kísérletek korai észlelésére behatolásészlelő rendszerekkel és vírusirtó szoftverekkel. Ezek alapvetően a bűncselekmény helyszínén hagyott bizonyítékok digitális változatai, és a potenciális IOC-k közé tartozik a szokatlan hálózati forgalom, a külföldi országokból származó privilegizált felhasználói bejelentkezések, furcsa DNS-kérések, rendszerfájl-módosítások stb. IOC észlelésekor a biztonsági csapatok értékelik a lehetséges fenyegetéseket, vagy ellenőrzik annak hitelességét. Az IOC-k arra is bizonyítékot szolgáltatnak, hogy a támadó mihez férhetett hozzá, ha behatolt a hálózatba. A LockBit Green ransomware kompromittálási mutatói (IOC) a következők:

• Titkosított fájlok véletlenszerű kiterjesztéssel a fájlnevükhöz
• Az áldozat képernyőjén vagy szöveges fájlban megjelenített váltságdíj-cédula vagy üzenet
• Szokatlan hálózati forgalom vagy tevékenység, például nagy mennyiségű adat átvitele ismeretlen helyekre
• Az áldozat rendszerén futó gyanús folyamatok vagy szolgáltatások
• A rendszerbeállítások vagy konfigurációk módosításai, például a biztonsági szoftverek letiltása vagy a rendszerleíró kulcsok módosítása

Ha ezen jelek bármelyikét észleli, fontos, hogy az érintett rendszert elkülönítse a hálózattól, és kérjen segítséget egy képzett biztonsági szakembertől a támadás kivizsgálásához és orvoslásához. Javasoljuk továbbá, hogy rendszeresen készítsen biztonsági másolatot a fontos adatokról, és hajtsa végre a legjobb biztonsági gyakorlatokat a ransomware támadások megelőzése érdekében.

LockBit Green ransomware fájl hash

A Ransomware hash fájlok olyan egyedi azonosítók, amelyek egy adott fájlt vagy fájlkészletet képviselnek, amelyeket ransomware titkosított. Ezek a kivonatok használhatók a ransomware támadások azonosítására és nyomon követésére, valamint aláírások fejlesztésére víruskereső szoftverekhez a ransomware fertőzések észlelésére és blokkolására.LockBit Green fájlkivonatok:

• 102679330f1e2cbf41885935ceeb2ab6596dae82925deec1aff3d90277ef6c8c
• 32eb4b7a4d612fac62e93003811e88fbc01b64281942c25f2af2a0c63cdbe7fa
• 5c5c5b25b51450a050f4b91cd2705c8242b0cfc1a0eaeb4149354dbb07979b83
• 7509761560866a2f7496eb113954ae221f31bc908ffcbacad52b61346880d9f3
• 924ec909e74a1d973d607e3ba1105a17e4337bd9a1c59ed5f9d3b4c25478fe11
• ac49a9ecd0932faea3659d34818a8ed4c48f40967c2f0988eeda7eb089ad93ca
• fc8668f6097560f79cea17cd60b868db581e51644b84f5ad71ba85c00f956225
• ffa0420c10f3d0ffd92db0091304f6ed60a267f747f4420191b5bfe7f4a513a9

Mi van a LockBit Green váltságdíjban

A LockBit Green váltságdíja megegyezik a LockBit Black által használt váltságdíjjal, és a váltságdíjat kérő fájl neve „!!!-Restore-My-Files-!!!.txt”-re módosult. A LockBit Green váltságlevél kimondja, hogy az adatokat ellopták és titkosították, és figyelmeztet, hogy ha a váltságdíjat nem adják el, vagy nem fizetik ki a váltságdíjat. A LockBit Green parancssori jelzői megegyeznek a Conti v3-éval, így az eredeti forráskód származéka.Fontos megjegyezni, hogy a váltságdíj kifizetése nem garantálja, hogy a támadók megadják a visszafejtési kulcsot, és további támadásokhoz vezethet.

Ha rájön, hogy zsarolóprogramok áldozata vagy, a SalvageData zsarolóprogram-eltávolító szakértőivel való kapcsolatfelvétel biztonságos adat-helyreállítási szolgáltatást és ransomware-eltávolítást biztosít a támadás után.

Hogyan terjed a LockBit Green ransomware?

A LockBit Green különféle eszközökön keresztül jut hozzá a felhő alapú szolgáltatásokhoz. Íme néhány módszer, amellyel a LockBit Green ransomware felhőalapú szolgáltatásokat célozhat meg:

• Sebezhetőségek kihasználása.A Ransomware kihasználhatja a felhőinfrastruktúra sérülékenységeit, például hibás konfigurációkat vagy elavult szoftvereket, hogy jogosulatlan hozzáférést szerezzen. Ez magában foglalhatja a gyenge jelszavak kihasználását, a javítatlan szoftvereket vagy a nem biztonságos hálózati konfigurációkat.
• Adathalászat és közösségi tervezés.A zsarolóprogramok üzemeltetői adathalász e-maileket vagy más social engineering technikákat használhatnak, hogy rávegyék a felhasználókat, hogy rosszindulatú hivatkozásokra kattintsanak, vagy fertőzött mellékleteket töltsenek le. Ezeket az e-maileket úgy kell megtervezni, hogy legitimnek tűnjenek, és meggyőző üzeneteket tartalmazhatnak, vagy megbízható entitásokat adjanak meg.

• Brute Forcing VPN hitelesítő adatok.Egyes esetekben a LockBit Green nem biztonságos VPN-hitelesítő adatokon keresztül is megérkezhet. Ez akkor fordulhat elő, ha gyenge vagy könnyen kitalálható jelszavakat használnak a VPN-hozzáféréshez.
• Rosszindulatú hirdetések és webhelyek.A zsarolóvírusok rosszindulatú s vagy feltört webhelyeken keresztül is terjeszthetők. A felhasználók tudtukon kívül felkereshetnek egy feltört webhelyet, vagy rákattinthatnak egy rosszindulatú hirdetésre, amely ezután letöltheti és végrehajthatja a zsarolóprogramot a rendszerükre.
• A Remote Desktop Protocol (RDP) kihasználása.A zsarolóvírus-kezelők megpróbálhatják kihasználni a gyenge vagy rosszul konfigurált Remote Desktop Protocol (RDP) kapcsolatokat, hogy felhő alapú szolgáltatásokat érjenek el. A hálózatba kerülve oldalirányban mozoghatnak, és megfertőzhetnek más rendszereket.
• Ellátási lánc támadások.Ransomware is bevezethető a felhő alapú szolgáltatásokba ellátási lánc támadásokkal. Ez magában foglalja a megbízható szoftverszállítók vagy szolgáltatók kompromittálását, és hozzáférésük felhasználását a zsarolóprogramok ügyfelei közötti terjesztésére.
• Kompromittált szerverek.A LockBit üzemeltetői gyakran kompromittált szervereken keresztül férnek hozzá a hálózatokhoz. Kihasználhatják a kiszolgálószoftverek sebezhetőségeit, vagy a leányvállalatoktól vagy más fenyegető szereplőktől szerzett feltört hitelesítő adatokon keresztül juthatnak hozzá.

Hogyan fertőz meg a LockBit Green ransomware egy számítógépet vagy hálózatot?

A LockBit Green ransomware úgy működik, hogy egy új Conti-alapú titkosítóval titkosítja az áldozat adatait. Íme a titkosítási folyamat jellemző működésének részletezése:

Fertőzés

A LockBit Green különféle módokon, például adathalász e-maileken, feltört szervereken vagy a sebezhetőségek kihasználásával fér hozzá a számítógéphez vagy a hálózathoz.

Titkosítás

A rendszerbe kerülve a LockBit Green elkezdi titkosítani az áldozat fájljait. A fájltípusok széles skáláját célozza meg, beleértve a dokumentumokat, képeket és videókat. A zsarolóprogram erőteljes titkosítási algoritmust használ az adatok titkosítására, így elérhetetlenné teszi azokat a visszafejtő kulcs nélkül.

Fájl kiterjesztés

A LockBit Green véletlenszerű kiterjesztést fűz az összes titkosított fájl fájlnevéhez. Ez a kiterjesztés minden áldozat számára egyedi, és a zsarolóprogram azonosítójaként szolgál.

Váltságdíj megjegyzés

A fájlok titkosítása után a LockBit Green váltságdíjat hagy maga után. A váltságdíj-jegyzet konkrét tartalma változhat, de általában arról tájékoztatja az áldozatot, hogy adatait titkosították, és útmutatást ad a váltságdíj kifizetéséhez a visszafejtési kulcs megszerzéséhez.

Váltságdíj fizetése

A váltságdíjról szóló feljegyzés tartalmazza a ransomware üzemeltetőivel való kapcsolatfelvétel és a fizetés részleteit. Fontos megjegyezni, hogy a váltságdíj kifizetése nem garantálja a fájlok visszafejtését, és további támadásokra ösztönözhet.

Ne fizesse ki a váltságdíjat!Ha kapcsolatba lép egy zsarolóprogram-eltávolító szolgáltatással, akkor nem csak a fájlokat állíthatja vissza, hanem eltávolíthatja a potenciális veszélyeket is.

Hogyan kezeljük a LockBit Green ransomware támadást

Fontos:A LockBit Green IOC azonosítása után az első lépés az Incident Response Plan (IRP) alkalmazása. Ideális esetben van egy Incident Response Retainer (IRR) egy megbízható szakembergárdával, amely a hét minden napján, 24 órában elérhető, és azonnali lépéseket tehet az adatvesztés megelőzése, a váltságdíj csökkentése vagy megszüntetése érdekében, valamint a jogi kötelezettségek leküzdése érdekében. a fertőzött számítógépet úgy, hogy leválasztja az internetről, és eltávolít minden csatlakoztatott eszközt. Ezzel egyidejűleg ez a csapat segít Önnek felvenni a kapcsolatot országa helyi hatóságaival. Az amerikai lakosok és vállalkozások számára ez aaz FBI helyi irodájaés aInternet Crime Complaint Center (IC3). A ransomware támadás bejelentéséhez minden lehetséges információt össze kell gyűjtenie róla, beleértve:

• Képernyőképek a váltságdíjról
• Kommunikáció a LockBit Green színészekkel (ha van ilyen)
• Példa egy titkosított fájlból

Ha azonban nincs IRP-je vagy IRR-je, akkor is megtehetilépjen kapcsolatba a zsarolóvírus-eltávolító és -helyreállító szakemberekkel. Ez a legjobb lépés, és nagymértékben növeli a zsarolóvírus sikeres eltávolításának, az adatok visszaállításának és a jövőbeli támadások megelőzésének esélyét. Javasoljuk, hogyhagyjon minden fertőzött gépet úgy ahogy vanés hívjon egysürgősségi ransomware helyreállítási szolgáltatás.A rendszer újraindítása vagy leállítása veszélyeztetheti a helyreállítási folyamatot. Az élő rendszer RAM-jának rögzítése segíthet a titkosítási kulcs megszerzésében, a dropper fájl elfogása pedig visszafejthető, és az adatok visszafejtéséhez vagy működésének megértéséhez vezethet.

Mit NE tegyünk a LockBit Green ransomware támadásból való felépüléshez

Muszájne törölje a ransomware-tés őrizze meg a támadás minden bizonyítékát. Ez azért fontosdigitális kriminalisztikaígy a szakértők visszavezethetik a hackercsoportot és azonosíthatják őket. A hatóságok a fertőzött rendszeren lévő adatok felhasználásával tehetik megvizsgálja ki a támadást és keresse meg a felelőst.A kibertámadások nyomozása nem különbözik bármely más bűnügyi nyomozástól: bizonyítékra van szükség a támadók megtalálásához.

1. Vegye fel a kapcsolatot az incidens-elhárítási szolgáltatóval

A Cyber ​​Incident Response a kiberbiztonsági incidensre adott válaszlépés és kezelés folyamata. Az Incident Response Retainer egy kiberbiztonsági szolgáltatóval kötött szolgáltatási szerződés, amely lehetővé teszi a szervezetek számára, hogy külső segítséget kapjanak a kiberbiztonsági incidensekkel kapcsolatban. Strukturált szakértelmet és támogatást biztosít a szervezeteknek egy biztonsági partneren keresztül, lehetővé téve számukra, hogy gyorsan és hatékonyan reagáljanak egy kiberincidens során. Az incidensreagálást biztosító rendszer nyugalmat biztosít a szervezeteknek, szakértői támogatást kínálva a kiberbiztonsági incidens előtt és után. Az incidensre adott válaszadó sajátos jellege és szerkezete a szolgáltatótól és a szervezet követelményeitől függően változik. A jó incidensreakció-megtartónak robusztusnak, de rugalmasnak kell lennie, és bevált szolgáltatásokat kell nyújtania a szervezet hosszú távú biztonsági helyzetének javítására.Ha felveszi a kapcsolatot IR szolgáltatójával, minden másról gondoskodni fognak.Ha azonban úgy dönt, hogy eltávolítja a zsarolóprogramot, és visszaállítja a fájlokat informatikai csapatával, akkor kövesse a következő lépéseket.

2. Azonosítsa a ransomware fertőzést

Tudodazonosítani, melyik zsarolóprogramotmegfertőzte a gépét a fájlkiterjesztéssel (egyes zsarolóprogramok a fájlkiterjesztést használják nevükként), különben ez szerepel a váltságdíj-jegyzetben. Ezzel az információval megkereshet egy nyilvános visszafejtő kulcsot. A ransomware típusát az IOC-k alapján is ellenőrizheti. A kompromisszumjelzők (IOC) olyan digitális nyomok, amelyeket a kiberbiztonsági szakemberek a rendszerkompromittálások és a rosszindulatú tevékenységek azonosítására használnak a hálózati vagy informatikai környezetben. Ezek alapvetően a tetthelyen hagyott bizonyítékok digitális változatai, és a lehetséges IOC-k közé tartozik a szokatlan hálózati forgalom, a külföldi országokból származó privilegizált felhasználói bejelentkezések, furcsa DNS-kérések, rendszerfájl-módosítások stb. IOC észlelésekor a biztonsági csapatok értékelik a lehetséges fenyegetéseket, vagy ellenőrzik annak hitelességét. Az IOC-k arra is bizonyítékot szolgáltatnak, hogy mihez férhetett hozzá a támadó, ha behatolt a hálózatba.

3. Távolítsa el a zsarolóprogramot, és távolítsa el a kizsákmányoló készleteket

Az adatok helyreállítása előtt garantálnia kell, hogy eszköze zsarolóprogram-mentes, és hogy a támadók nem tudnak új támadást végrehajtani kihasználó készleteken vagy más biztonsági réseken keresztül. A zsarolóprogram-eltávolító szolgáltatás törölheti a zsarolóprogramot, létrehozhat egy kriminalisztikai dokumentumot a nyomozáshoz, kiküszöbölheti a sebezhetőségeket, és helyreállíthatja az Ön adatait. Használjon rosszindulatú/zsarolóprogram-elhárító szoftvereket a rosszindulatú szoftver karanténba helyezéséhez és eltávolításához.

Fontos:Ha felveszi a kapcsolatot a zsarolóvírus-eltávolító szolgálatokkal, biztosíthatja, hogy gépén és hálózatán ne legyen nyoma a LockBit Green zsarolóprogramnak. Ezenkívül ezek a szolgáltatások javíthatják a rendszert, megakadályozva az új támadásokat.

4. Használjon biztonsági másolatot az adatok visszaállításához

A biztonsági mentések az adatok helyreállításának leghatékonyabb módja. Ügyeljen arra, hogy az adathasználattól függően napi vagy heti biztonsági másolatot készítsen.

5. Vegye fel a kapcsolatot egy zsarolóprogram-helyreállító szolgáltatással

Ha nem rendelkezik biztonsági másolattal, vagy segítségre van szüksége a ransomware eltávolításához és a sebezhetőségek kiküszöböléséhez, lépjen kapcsolatba egy adat-helyreállító szolgáltatással. A váltságdíj kifizetése nem garantálja, hogy adatait visszaküldik Önnek. Minden fájl visszaállításának egyetlen garantált módja, ha biztonsági másolatot készít róla. Ha nem így tesz, a zsarolóvírus-adat-helyreállítási szolgáltatások segíthetnek a fájlok visszafejtésében és helyreállításában. A SalvageData szakértői biztonságosan visszaállíthatják fájljait, és megakadályozhatják, hogy a LockBit Green ransomware ismét megtámadja a hálózatát. Vegye fel a kapcsolatot szakértőinkkel a hét minden napján, 24 órában a sürgősségi helyreállítási szolgáltatásért.

Akadályozza meg a LockBit Green ransomware támadást

A ransomware megelőzése az adatbiztonság legjobb megoldása. könnyebb és olcsóbb, mint felépülni belőlük. A LockBit Green zsarolóprogramok költséget jelenthetnek vállalkozása jövőjéhez, és akár be is zárhatják az ajtókat. Íme néhány tipp, amelyek biztosítják, hogyelkerülje a ransomware támadásokat:

• Telepítsen víruskereső és kártevőirtó szoftvert.
• Alkalmazzon megbízható kiberbiztonsági megoldásokat.
• Használjon erős és biztonságos jelszavakat.
• Tartsa naprakészen a szoftvereket és az operációs rendszereket.
• Tűzfalak alkalmazása a fokozott védelem érdekében.
• Készítsen adat-helyreállítási tervet.
• Rendszeresen ütemezzen biztonsági mentéseket az adatok védelme érdekében.
• Legyen óvatos az e-mail mellékletekkel és az ismeretlen vagy gyanús forrásból származó letöltésekkel.
• Mielőtt rájuk kattintana, ellenőrizze a hirdetések biztonságát.
• Csak megbízható forrásból érjen el webhelyekhez.

Ha betartja ezeket a gyakorlatokat, megerősítheti online biztonságát, és megvédheti magát a lehetséges fenyegetésektől.