Snatch Ransomware: Teljes útmutató

A Snatch nem új fenyegetés, ez a ransomware család és változatai 2019 óta támadnak szervezeteket és vállalkozásokat. Ez egy magas kockázatú rosszindulatú program, amely zárolja és kiszivárogja az áldozatok adatait. A hackerek ezután váltságdíjat követelnek a visszafejtési kulcsért cserébe, és „garanciát”, hogy nem szivárogtatják ki az adatokat a Tor webhelyükön. Ezt a taktikát úgy hívják, hogykettős zsarolás.A Snatch ransomware kihasználja, hogy a Windows nem futtat biztonsági mechanizmusokat a végponti eszközökön, amikor a rendszer csökkentett módban újraindul. Ezután az észlelés elkerülése érdekében a kártevő a fertőzött gépeket csökkentett módban történő újraindításra kényszeríti.

Milyen rosszindulatú program a Snatch?

A Snatch ransomware egy olyan rosszindulatú program, amely különösen lopakodó. Rosszindulatú tevékenységeihez nyilvánosan elérhető és beépített eszközöket használ, és köztudottan számos ágazatot céloz meg, beleértve az egészségügyet, a pénzügyet és a kiskereskedelmet. A Snatch ransomware az is ismert, hogy kiszivárogtatja az áldozatok érzékeny és kritikus adatait, mielőtt titkosítja azokat, majd kiszivárogtatja azokat, hacsak nem fizetik ki a váltságdíjat. Aszimmetrikus titkosítási algoritmus és aszimmetrikus kombinációt használ. A kártevő egyedi RSA-2048 kulcspárt hoz létre az áldozat számítógépén, amely a fájlok AES-256 szimmetrikus titkosítási algoritmussal történő titkosítására szolgál. A nyilvános kulcsot ezután a rosszindulatú programban található keménykódolt nyilvános kulccsal titkosítják, és elküldik a támadók szerverének. A támadók ezt követően a privát kulcsukkal dekódolják az áldozat nyilvános kulcsát, és visszaküldik a visszafejtő kulcsot, amellyel visszaállíthatják a titkosított fájlokat.

Minden, amit a Snatch ransomware-ről tudunk

Ez a lista tartalmazza az alapvető információkat a Snatch néven ismert új zsarolóvírustörzsről.Megerősített név

• Snatch vírus

Fenyegetés típusa

• Ransomware
• Lopakodó rosszindulatú program
• Kriptovírus
• Fájlszekrény
• Kettős zsarolás

Titkosított fájlok kiterjesztés

• .megragad
• .kígyó
• .Ti srácok
• .google
• .dglnl
• .ohwqg
• .wvtr0
• .hceem

Váltságdíjat követelő üzenet

• Readme_Restore_Files.txt
• Restore_JIMM_Files.txt
• RESTORE_DGLNL_FILES.txt
• RESTORE_HCEEM_DATA.txt
• RESTORE_WVTR0_FILES.txt
• DECRYPT_GOOGL_FILES.txt
• DECRYPT_OHWQG_FILES.txt

Észlelési nevek

• AvastWin64: Evo-gen [Trj]
• AVGWin64: Evo-gen [Trj]
• EmsisoftGeneric.Ransom.Snatch.5D562140 (B)
• KasperskyTrojan.Win32.DelShad.ea
• MalwarebytesÁltalános.Malware/Gyanús
• MicrosoftVirTool:MSIL/CryptInject

Ransomware család, típus és változatA Snatch ransomware-nek számos változata létezik, de néhányuk saját titkosítási módszert és kiterjesztést használ a titkosított fájlokhoz.Elosztási módszerek

• Adathalász e-mailek
• Rosszindulatú e-mail mellékletek
• Social engineering

Következmények

• Adatok kiszűrése
• Fájl titkosítás

Elérhető ingyenes visszafejtő?

Nem.Jelenleg nem áll rendelkezésre ismert nyilvános dekódoló a Snatch ransomware számára.

Mik azok a Snatch ransomware IOC-jai?

A kompromisszumjelzők (IOC) olyan műtermékek, amelyeket a hálózaton vagy egy operációs rendszerben figyeltek meg, amelyek nagy biztonsággal jelzik a számítógépes behatolást. Az IOC-k felhasználhatók a jövőbeli támadási kísérletek korai észlelésére behatolásészlelő rendszerek és vírusirtó szoftverek segítségével. A Snatch ransomware kompromittációs mutatói (IOC) a következők:

• Képtelenség megnyitni a számítógépén tárolt fájlokat.A rendszer megfertőzése után a Snatch ransomware titkosítja az áldozat fájljait, és elérhetetlenné teszi azokat.
• A korábban működő fájlok már nem érhetők el.A Snatch ransomware az eredeti fájlokat titkosított verziókra cseréli, amelyeket csak a támadók által ismert kulccsal lehet visszafejteni.
• Fizetést követelő üzenetek.Az áldozat fájljainak titkosítása után a Snatch ransomware üzenetet jelenít meg, amelyben fizetést követel egy visszafejtési kulcsért cserébe, amely lehetővé teszi az áldozat számára, hogy ismét hozzáférjen fájljaihoz.
• A rendszer újraindul csökkentett módba.A Snatch ransomware köztudottan újraindítja a fertőzött rendszereket csökkentett módba, hogy megkerülje a víruskereső és egyéb biztonsági szoftvereket.

Hogyan találja meg a Snatch ransomware váltságdíj-jegyzetét?

A Snatch váltságdíjról szóló feljegyzés rövid, és elmagyarázza azokat a lépéseket, amelyeket az áldozatoknak meg kell tenniük adataik lekéréséhez. A feljegyzés szerint a váltságdíj kifizetése a legegyszerűbb út a normális működéshez.Ne fizesse ki a váltságdíjat, és ne tárgyaljon a fenyegetés szereplőivel. Azonnal lépjen kapcsolatba a SalvageData szakértőivel, hogy visszaállítsák fájljait, és jelentsék a zsarolóprogramot a helyi hatóságoknak. Példa a Snatch váltságdíjról szóló megjegyzésre:

Hogyan terjed a Snatch ransomware

A Snatch ransomware egy veszélyes rosszindulatú program, amely többféle módon is megfertőzheti a számítógépet vagy a hálózatot, többek között:

• Spam és adathalász e-mailek, amelyek legális vállalkozásoknak adják ki magukat. A csalók olyan e-maileket küldenek, amelyek látszólag legális vállalkozásoktól származnak, mint például a PayPal, a UPS, a FedEx és mások. Ezek az e-mailek linkeket vagy mellékleteket tartalmaznak, amelyek veszélyeztetik adatait és hálózatát. Egy linkre kattintva vagy egy melléklet letöltésével mindenkit kizárhat a hálózatból.

• Social engineering.Ez egyfajta számítógépes támadás, amely emberi interakción alapul, hogy az áldozatokat bizalmas információk közzétételére, linkekre vagy mellékletekre kattintva, vagy más, a biztonságot veszélyeztető műveletekre csalja ki. A social engineering támadások célja az emberi pszichológia és viselkedés kihasználása érzékeny információkhoz vagy rendszerekhez való hozzáférés érdekében. A támadók megszemélyesíthetik magukat egy megbízható hatóság személyének, például banki képviselőnek vagy informatikai technikusnak, vagy sürgős vagy félelmet kelthetnek, hogy cselekvésre kényszerítsék az áldozatot.

Hogyan fertőz meg a Snatch ransomware egy számítógépet vagy hálózatot

A Snatch ransomware arról ismert, hogy képes megkerülni a víruskereső szoftvert a fertőzött számítógép csökkentett módba történő újraindításával, ahol a legtöbb biztonsági szoftver nem fut. Amint a Snatch megfertőz egy rendszert, elkezdi titkosítani a fájlokat, és „.snatch” vagy variáns kiterjesztést ad a fájlnevekhez. A támadók ezután fizetést követelnek egy visszafejtő kulcsért cserébe, amely visszaállítja a hozzáférést a titkosított fájlokhoz. A fájlok titkosítása mellett a Snatch ransomware is ismert, hogy érzékeny adatokat, például bejelentkezési adatokat és pénzügyi információkat lop el a fertőzött rendszerekről.

Hogyan kezeljük a Snatch ransomware támadást

Fontos:A Snatch IOC azonosítása után az első lépés az incidensreagálási terv (IRP) alkalmazása. Ideális esetben van egy Incident Response Retainer (IRR) egy megbízható szakembergárdával, amely a hét minden napján, 24 órában elérhető, és azonnali lépéseket tehet az adatvesztés megelőzése, a váltságdíj csökkentése vagy megszüntetése érdekében, valamint a jogi kötelezettségek leküzdése érdekében. a fertőzött számítógépet a csatlakoztatott eszközök eltávolításával. Ezzel egyidejűleg ez a csapat segít Önnek felvenni a kapcsolatot országa helyi hatóságaival. Az amerikai lakosok és vállalkozások számára ez aaz FBI helyi irodájaés aInternet Crime Complaint Center (IC3). A ransomware támadás bejelentéséhez minden lehetséges információt össze kell gyűjtenie róla, beleértve:

• Képernyőképek a váltságdíjról
• Kommunikáció a Snatch-színészekkel (ha van ilyen)
• Példa egy titkosított fájlból

Ha azonban nincs IRP-je vagy IRR-je, akkor is megtehetilépjen kapcsolatba a zsarolóvírus-eltávolító és -helyreállító szakemberekkel. Ez a legjobb lépés, és nagymértékben növeli a zsarolóvírus sikeres eltávolításának, az adatok visszaállításának és a jövőbeli támadások megelőzésének esélyét. Javasoljuk, hogyhagyjon minden fertőzött gépet úgy ahogy vanés hívjon egysürgősségi ransomware helyreállítási szolgáltatás.A rendszer újraindítása vagy leállítása veszélyeztetheti a helyreállítási folyamatot. Az élő rendszer RAM-jának rögzítése segíthet a titkosítási kulcs megszerzésében, a dropper fájl elfogása pedig visszafejthető, és az adatok visszafejtéséhez vagy működésének megértéséhez vezethet.

Mit NE tegyünk a Snatch ransomware támadásból való felépüléshez

Muszájne törölje a ransomware-tés őrizze meg a támadás minden bizonyítékát. Ez azért fontosdigitális kriminalisztikaígy a szakértők visszavezethetik a hackercsoportot és azonosíthatják őket. A hatóságok a fertőzött rendszeren lévő adatok felhasználásával tehetik megvizsgálja ki a támadást és keresse meg a felelőst.A kibertámadások nyomozása nem különbözik bármely más bűnügyi nyomozástól: bizonyítékra van szükség a támadók megtalálásához.

ÖSSZEFÜGGŐ:Akira Ransomware: Teljes útmutató

1. Vegye fel a kapcsolatot az incidens-elhárítási szolgáltatóval

A Cyber ​​Incident Response a kiberbiztonsági incidensre adott válaszlépés és kezelés folyamata. Az Incident Response Retainer egy kiberbiztonsági szolgáltatóval kötött szolgáltatási szerződés, amely lehetővé teszi a szervezetek számára, hogy külső segítséget kapjanak a kiberbiztonsági incidensekkel kapcsolatban. Strukturált szakértelmet és támogatást biztosít a szervezeteknek egy biztonsági partneren keresztül, lehetővé téve számukra, hogy gyorsan és hatékonyan reagáljanak kiberincidens esetén. Az incidensreagálást biztosító rendszer nyugalmat biztosít a szervezeteknek, szakértői támogatást kínálva egy kiberbiztonsági incidens előtt és után. Az incidensre adott válaszadó sajátos jellege és szerkezete a szolgáltatótól és a szervezet követelményeitől függően változik. A jó incidensreakció-rögzítőnek robusztusnak, de rugalmasnak kell lennie, és bevált szolgáltatásokat kell nyújtania a szervezet hosszú távú biztonsági helyzetének javítása érdekében. Ha felveszi a kapcsolatot IR-szolgáltatójával, minden másról ők gondoskodnak. Ha azonban úgy dönt, hogy eltávolítja a zsarolóprogramot, és visszaállítja a fájlokat informatikai csapatával, akkor kövesse a következő lépéseket.

2. Azonosítsa a ransomware fertőzést

Tudodazonosítani, melyik zsarolóprogramotmegfertőzte a gépét a fájlkiterjesztéssel (egyes zsarolóprogramok a fájlkiterjesztést használják nevükként), különben ez szerepel a váltságdíj-jegyzetben. Ezzel az információval megkereshet egy nyilvános visszafejtő kulcsot. A ransomware típusát az IOC-k alapján is ellenőrizheti. A kompromisszumjelzők (IOC) olyan digitális nyomok, amelyeket a kiberbiztonsági szakemberek a rendszerkompromittálások és a rosszindulatú tevékenységek azonosítására használnak a hálózati vagy informatikai környezetben. Ezek alapvetően a tetthelyen hagyott bizonyítékok digitális változatai, és a lehetséges IOC-k közé tartozik a szokatlan hálózati forgalom, a külföldi országokból származó privilegizált felhasználói bejelentkezések, furcsa DNS-kérések, rendszerfájl-módosítások stb. IOC észlelésekor a biztonsági csapatok értékelik a lehetséges fenyegetéseket, vagy ellenőrzik annak hitelességét. Az IOC-k arra is bizonyítékot szolgáltatnak, hogy mihez férhetett hozzá a támadó, ha behatolt a hálózatba.

3. Távolítsa el a zsarolóprogramot, és távolítsa el a kizsákmányoló készleteket

Az adatok helyreállítása előtt garantálnia kell, hogy eszköze zsarolóprogram-mentes, és hogy a támadók nem tudnak új támadást végrehajtani kihasználó készleteken vagy más biztonsági réseken keresztül. A zsarolóprogram-eltávolító szolgáltatás törölheti a zsarolóprogramot, létrehozhat egy kriminalisztikai dokumentumot a nyomozáshoz, kiküszöbölheti a sebezhetőségeket, és helyreállíthatja az Ön adatait. Használjon rosszindulatú/zsarolóprogram-elhárító szoftvereket a rosszindulatú szoftver karanténba helyezéséhez és eltávolításához.Fontos:Ha kapcsolatba lép a zsarolóvírus-eltávolító szolgálatokkal, biztosíthatja, hogy gépén és hálózatán ne legyen nyoma a Snatch ransomware-nek. Ezenkívül ezek a szolgáltatások javíthatják a rendszert, megakadályozva az új támadásokat.

4. Használjon biztonsági másolatot az adatok visszaállításához

A biztonsági mentések az adatok helyreállításának leghatékonyabb módja. Ügyeljen arra, hogy az adathasználattól függően napi vagy heti biztonsági másolatot készítsen.

5. Vegye fel a kapcsolatot egy zsarolóprogram-helyreállító szolgáltatással

Ha nem rendelkezik biztonsági másolattal, vagy segítségre van szüksége a ransomware eltávolításához és a sebezhetőségek megszüntetéséhez, vegye fel a kapcsolatot egy adat-helyreállító szolgáltatással. A váltságdíj kifizetése nem garantálja, hogy adatait visszaküldik Önnek. Minden fájl visszaállításának egyetlen garantált módja, ha biztonsági másolatot készít róla. Ha nem így tesz, a zsarolóvírus-adat-helyreállítási szolgáltatások segíthetnek a fájlok visszafejtésében és visszaállításában. A SalvageData szakértői biztonságosan visszaállíthatják a fájlokat, és megakadályozhatják, hogy a Snatch ransomware ismét megtámadja a hálózatát. Ezenkívül kínálunk egydigitális törvényszéki jelentésamelyeket felhasználhat a további nyomozáshoz és annak megértéséhez, hogyan történt a kibertámadás. Vészhelyzeti helyreállítási szolgáltatásért forduljon szakértőinkhoz a hét minden napján, 24 órában.

Akadályozza meg a Snatch ransomware támadást

A ransomware megelőzése az adatbiztonság legjobb megoldása. könnyebb és olcsóbb, mint felépülni belőlük. A zsarolóvírusok elrablása költséget jelenthet vállalkozása jövőjének, és akár be is zárhatja az ajtókat. Íme néhány tipp, amelyek biztosítják, hogyelkerülje a ransomware támadásokat:

• Telepítsen víruskereső és kártevőirtó szoftvert.
• Használjon erős és biztonságos jelszavakat.
• Alkalmazza a többtényezős hitelesítést (MFA).
• Tartsa naprakészen a szoftvereket és az operációs rendszereket.
• Tűzfalak megvalósítása.
• Készítsen adat-helyreállítási tervet.
• Rendszeresen ütemezett biztonsági mentések az adatokról.
• Kerülje el az e-mailek mellékleteit és az ismeretlen vagy gyanús forrásokból származó letöltéseket.
• Csak megbízható forrásból érjen el webhelyekhez.

Ha betartja ezeket a gyakorlatokat, megerősítheti online biztonságát, és megvédheti magát a lehetséges fenyegetésektől.