MedusaLocker Ransomware: Teljes útmutató

A MedusaLocker ransomware-t először 2019 szeptemberében észlelték, és azóta több szektorban is megfertőzte és titkosította a rendszereket, elsősorban az egészségügyi szektort célozva meg. A MedusaLocker szereplői túlnyomórészt a távoli szolgáltatások sebezhetőségeire hagyatkoznak, hogy hozzáférjenek az áldozatok hálózataihoz. A szereplők olyan szolgáltatásokat használnak, mint az RDP, a PsExec és az SMB, hogy megfertőzzenek más gazdagépeket az áldozat hálózatában.

A SalvageData szakértői proaktív adatbiztonsági intézkedéseket javasolnak, mint például a rendszeres biztonsági mentések, az erős kiberbiztonsági gyakorlatok és a szoftverek naprakészen tartása a ransomware támadások elleni védelem érdekében. És,ransomware támadás esetén haladéktalanul lépjen kapcsolatba zsarolóprogram-helyreállító szakértőinkkel.

Lásd még:MEOW Ransomware: Teljes útmutató

Milyen rosszindulatú program a MedusaLocker?

A MedusaLocker egy zsarolóprogram, amelyről ismert, hogy több szervezetet is megcéloz, különösen egészségügyi és gyógyszeripari cégeket. Ransomware-as-a-Service (RaaS) modellként működik a váltságdíjfizetések megfigyelt felosztása alapján. Noha hasonló a neve, nincs egyértelmű bizonyíték arra, hogy a MedusaLocker kapcsolatban állna a Medusa ransomware-rel.

Minden, amit a MedusaLocker ransomware-ről tudunk

Megerősített név

• MedusaLocker vírus

Fenyegetés típusa

• Ransomware
• Kriptovírus
• Fájlszekrény
• Kettős zsarolás

Elérhető ingyenes visszafejtő?Nem, nincs nyilvános visszafejtő a MedusaLocker ransomware számára.Elosztási módszerek

• Adathalász e-mailek
• Távoli szolgáltatások

Következmények

• A fájlok titkosítottak és zárolva vannak
• Adatszivárgás
• Kettős zsarolás

Mi van a MedusaLocker váltságdíjban

A váltságdíjat minden mappában elhelyezik, és felvázolja, hogyan kell kommunikálni a támadókkal, és hogyan kell kifizetni a váltságdíjat Bitcoinban. Arra is figyelmezteti az áldozatokat, hogy ne nevezzék át, módosítsák vagy próbálják meg visszafejteni a titkosított fájlokat harmadik féltől származó visszafejtők használatával, kijelentve, hogy ez véglegesen megsértené őket, és nem tanácsolja a titkosított fájlok módosítását vagy átnevezését.

Ha rájön, hogy zsarolóprogramok áldozata vagy, a SalvageData zsarolóprogram-eltávolító szakértőivel való kapcsolatfelvétel biztonságos adat-helyreállítási szolgáltatást és ransomware-eltávolítást biztosít a támadás után.

MedusaLocker ransomware fertőzési és titkosítási módszerek

A MedusaLocker ransomware különféle technikákat használ az áldozat hálózatának más gazdagépeinek terjesztésére és megfertőzésére.

• Távoli szolgáltatások: A MedusaLocker ransomware olyan távoli szolgáltatásokat használ, mint a Remote Desktop Protocol (RDP), a PsExec és a Server Message Block (SMB).
• Adathalász kampányok: A MedusaLocker ransomware olyan adathalász kampányokon keresztül is bejuthat a hálózatokba, amelyekben a rosszindulatú program e-mailekhez van csatolva.

Amint a MedusaLocker ransomware hozzáférést nyer egy hálózathoz, a tipikus ransomware támadás életciklusát követi, és megakadályozza, hogy az áldozatok hozzáférjenek adataikhoz. Az AES és az RSA-2048 kombinációjával titkosítja az áldozat adatait. A MedusaLocker tovább növeli a tartósságot azáltal, hogy törli a helyi biztonsági másolatokat, letiltja az indítási helyreállítást, és végül egy váltságdíj-jegyzetet helyez el minden mappába, amely a feltört gazdagép titkosított adatait tartalmazó fájlt tartalmazza.

Ne tegyen eleget a váltságdíj követelésnek!Lépjen kapcsolatba a helyi hatóságokkal és egy zsarolóprogram-eltávolító szolgáltatással a fájlok visszaállítása és az esetleges fenyegetés eltávolítása érdekében.

Ismert MedusaLocker ransomware IOC-k

Az IOC a „kompromisszum mutatója” rövidítése a kiberbiztonság összefüggésében. Ez egy törvényszéki szakkifejezés, amely egy eszközön lévő bizonyítékra utal, amely a biztonság megsértésére utal. Bár a NOB adatait gyanús incidens, biztonsági esemény vagy váratlan hálózatból érkező hívások után gyűjtik össze, bevált kiberbiztonsági gyakorlat az IOC-adatok rendszeres ellenőrzése a szokatlan tevékenységek és sebezhetőségek felderítése érdekében. Az IOC fájlkiterjesztéseket, IP-címeket, fájlkivonatokat, e-mail címeket, fizetési pénztárcákat és váltságdíj-levelek fájlneveit tartalmazza. Mivel a MedusaLocker a RaaS, IOC-i a változattól és az azt működtető kiberbűnöző bandától függően változnak.A CISA MedusaLocker tanácsadójatartalmazza a következő IOC-kat is:Ismert váltságdíjat kérő fájlnevek:

• how_to_ recovery_data.html
• how_to_recover_data.html.marlock01
• utasítások.html
• OLVASSA EL az UTASÍTÁS.html
• !!!HOW_TO_DECRYPT!!!.

Ismert titkosított fájlkiterjesztések:

• .1btc
• .matlock20
• .olvasási utasítások
• .bec
• .mylock
• .deadfilesgr
• .lockfiles
• .tyco
• .fájlzár
• .zoomzoom
• .marlock08
• .marlock25

Hogyan kezeljük a MedusaLocker ransomware támadást

A MedusaLocker támadásból való felépülés első lépése a fertőzött számítógép elkülönítése az internetről való leválasztással és a csatlakoztatott eszközök eltávolításával. Ezután kapcsolatba kell lépnie a helyi hatóságokkal. Az amerikai lakosok és vállalkozások esetében ez aFBIés aInternet Crime Complaint Center (IC3).A ransomware támadás bejelentéséhez minden lehetséges információt össze kell gyűjtenie róla, beleértve:

• Képernyőképek a váltságdíjról
• Kommunikáció a fenyegetés szereplőivel (ha van ilyen)
• Példa egy titkosított fájlból

Ha azonban úgy tetsziklépjen kapcsolatba a szakemberekkel, akkor az a legjobbhagyjon minden fertőzött gépet úgy, ahogy vanés kérjen egysürgősségi ransomware-eltávolító szolgáltatás. Ezek a szakemberek fel vannak szerelve a károk gyors mérséklésére, bizonyítékok gyűjtésére, a titkosítás esetleges visszafordítására és a rendszer helyreállítására.

A rendszer újraindítása vagy leállítása veszélyeztetheti a rendszer helyreállítását. Az élő rendszer RAM-jának rögzítése segíthet a titkosítási kulcs megszerzésében, a dropper fájl, azaz a rosszindulatú rakományt végrehajtó fájl elfogása pedig segíthet magának a titkosításnak a visszafejtésében, és az adatok visszafejtéséhez vagy működésének jobb megértéséhez vezethet.

1. Lépjen kapcsolatba az incidens-elhárítási szolgáltatóval

A Cyber ​​Incident Response a kiberbiztonsági incidensre adott válaszlépés és kezelés folyamata. Az Incident Response Retainer egy kiberbiztonsági szolgáltatóval kötött szolgáltatási szerződés, amely lehetővé teszi a szervezetek számára, hogy külső segítséget kapjanak a kiberbiztonsági incidensekkel kapcsolatban. Strukturált szakértelmet és támogatást biztosít a szervezeteknek egy biztonsági partneren keresztül, lehetővé téve számukra, hogy gyorsan és hatékonyan reagáljanak egy kiberincidens során. Az incidensreagálást biztosító rendszer nyugalmat biztosít a szervezeteknek, szakértői támogatást kínálva a kiberbiztonsági incidens előtt és után. Az incidensre adott válaszadó sajátos jellege és szerkezete a szolgáltatótól és a szervezet követelményeitől függően változik. A jó incidensreakció-megtartónak robusztusnak, de rugalmasnak kell lennie, és bevált szolgáltatásokat kell nyújtania a szervezet hosszú távú biztonsági helyzetének javítására.Ha felveszi a kapcsolatot IR szolgáltatójával, azonnal átvehetik az irányítást, és végigvezetik Önt a ransomware helyreállításának minden lépésén.Ha azonban úgy dönt, hogy saját maga eltávolítja a zsarolóprogramot, és visszaállítja a fájlokat informatikai csapatával, akkor kövesse a következő lépéseket.

2. Azonosítsa a ransomware fertőzést

A fájlkiterjesztés alapján azonosíthatja, hogy melyik ransomware fertőzte meg a gépét (egyes zsarolóprogramok a fájlkiterjesztést használják névként),ransomware ID eszköz segítségével, vagy ez lesz a váltságdíjban. Ezen információk birtokában kereshet egy nyilvános visszafejtő kulcsot.

3. Távolítsa el a zsarolóprogramot, és távolítsa el a kizsákmányoló készleteket

Az adatok helyreállítása előtt garantálnia kell, hogy eszköze zsarolóprogram-mentes, és hogy a támadók nem tudnak új támadást végrehajtani kihasználó készleteken vagy más biztonsági réseken keresztül. A zsarolóprogram-eltávolító szolgáltatás törölheti a zsarolóprogramot, létrehozhat egy kriminalisztikai dokumentumot a nyomozáshoz, megszüntetheti a sebezhetőségeket, és helyreállíthatja az Ön adatait.

4. Használjon biztonsági másolatot az adatok visszaállításához

A biztonsági mentés fontosságát az adat-helyreállításban nem lehet túlbecsülni, különösen az adatok integritását fenyegető különféle lehetséges kockázatok és fenyegetések összefüggésében. A biztonsági másolatok az átfogó adatvédelmi stratégia kritikus elemei. Eszközt biztosítanak a különféle fenyegetésekből való kilábaláshoz, biztosítják a műveletek folytonosságát és megőrzik az értékes információkat. A zsarolóprogramok támadásaival szemben, amikor a rosszindulatú szoftverek titkosítják az Ön adatait, és fizetést követelnek a kiadásukért, a biztonsági mentés lehetővé teszi az adatok visszaállítását anélkül, hogy engedne a támadó igényeinek. Ügyeljen arra, hogy rendszeresen tesztelje és frissítse biztonsági mentési eljárásait, hogy növelje hatékonyságukat az esetleges adatvesztési forgatókönyvek elleni védelemben. Számos módja van a biztonsági másolat készítésének, ezért ki kell választania a megfelelő biztonsági mentési médiát, és az adatokból legalább egy másolatot kell tárolnia a helyszínen és offline.

5. Vegye fel a kapcsolatot egy zsarolóprogram-helyreállító szolgáltatással

Ha nem rendelkezik biztonsági másolattal, vagy segítségre van szüksége a rosszindulatú program eltávolításához és a sebezhetőségek kiküszöböléséhez, lépjen kapcsolatba egy adat-helyreállító szolgáltatással. A váltságdíj kifizetése nem garantálja, hogy adatait visszaküldik Önnek. Az egyetlen garantált módja az összes fájl visszaállításának, ha van biztonsági másolata. Ha nem így tesz, a zsarolóvírus-adat-helyreállítási szolgáltatások segíthetnek a fájlok visszafejtésében és visszaállításában. A SalvageData szakértői biztonságosan visszaállíthatják a fájlokat, és megakadályozhatják, hogy a MedusaLocker ransomware ismét megtámadja a hálózatát, vegye fel a kapcsolatot helyreállítási szakértőinkkel a hét minden napján, 24 órában. Mit NE tegyünk zsarolóvírus-támadás után.ne törölje a ransomware-tés őrizze meg a támadás minden bizonyítékát. Ez azért fontosdigitális kriminalisztikaígy a szakértők visszavezethetik a hackercsoportot és azonosíthatják őket. A hatóságok a fertőzött rendszeren lévő adatok felhasználásával tehetik megvizsgálja ki a támadást és keresse meg a felelőst.A kibertámadások nyomozása nem különbözik bármely más bűnügyi nyomozástól: bizonyítékra van szükség a támadók megtalálásához.

Megakadályozza a MedusaLocker ransomware támadást

A ransomware megelőzése a legjobb megoldás az adatbiztonságra, mivel egyszerűbb és olcsóbb, mint a támadásokból való felépülés. A MedusaLocker zsarolóprogramok az Ön vállalkozása jövőjébe kerülhetnek, sőt bezárhatják az ajtókat.Ezekkel a proaktív intézkedésekkel az egyének és szervezetek csökkenthetik a MedusaLocker ransomware támadások kockázatát, és megvédhetik adataikat a titkosítástól és a váltságdíjért. Íme néhány tipp a zsarolóprogramok támadásainak elkerülésére:

• Az alkalmazottak oktatásaa kiberbiztonságról és az adathalászatról, hogy segítsen nekik felismerni és elkerülni az adathalász kísérleteket.
• Végezzen biztonsági intézkedéseket, például tűzfalak, víruskereső szoftverek és behatolásérzékelő rendszerek, a rosszindulatú forgalom észlelésére és blokkolására.
• Legyen éberés figyelje a hálózati tevékenységet a gyanús viselkedés jelei miatt.
• Tartsa naprakészen a szoftverta legújabb biztonsági javításokkal, amelyek megakadályozzák, hogy a ransomware kihasználja a javítatlan biztonsági réseket.
• Erős hozzáférés-szabályozást kell alkalmazni,mint például a többtényezős hitelesítés és a rendszeres hitelesítő adatok figyelése, hogy megakadályozzák, hogy a zsarolóvírus-kezelők lopott vagy gyenge hitelesítő adatokkal hozzáférjenek a rendszerekhez.
• Biztonságos nem felügyelt eszközök és BYOD-házirendekolyan biztonsági intézkedések bevezetésével, mint az eszköztitkosítás és a távoli törlési képességek.
• Rendszeresen ellenőrizze és javítsa az internetre néző alkalmazásokathogy a zsarolóvírus-kezelők ne használják ki a sebezhetőségeket.