Ragnar Locker Ransomware: la guida completa

Ragnar Locker è una famiglia di ransomware in azione almeno da dicembre 2019. È nota per prendere di mira grandi organizzazioni e tentare di estorcere grandi quantità di criptovaluta alle sue vittime. Alcune caratteristiche chiave del ransomware Ragnar Locker includono: Il gruppo Ragnar Locker è noto per utilizzare una tattica di doppia estorsione, in cui il pagamento del riscatto non serve solo per recuperare i file interessati ma anche per impedire il rilascio delle informazioni rubate al pubblico. Mentre alcuni operatori di ransomware impongono regole volontarie contro il governo, le organizzazioni militari, gli operatori sanitari (ospedali) e le infrastrutture critiche come centrali elettriche e operatori di condutture, l'autore della minaccia Ragnar Locker non ha tale avversione. Il ransomware Ragnar Locker è stato utilizzato per attaccare una varietà di organizzazioni, tra cui società energetiche, compagnie aeree e marchi di moda di lusso.

Gli esperti di SalvageData raccomandano misure proattive di sicurezza dei dati, come backup regolari, solide pratiche di sicurezza informatica e mantenimento del software aggiornato, per proteggersi dagli attacchi ransomware. E, ioIn caso di attacco ransomware, contatta il nsesperti di recupero ransomwareimmediatamente.

Che tipo di malware è RagnarLocker?

Ragnar Locker è un tipo di ransomware che colpisce i dispositivi che eseguono i sistemi operativi Microsoft Windows. È progettato per crittografare i dati e richiedere il pagamento di un riscatto alla vittima per recuperare i propri file. Il gruppo Ragnar Locker è noto per impiegare una doppia tattica di estorsione, in cui il pagamento del riscatto non è solo per recuperare i file interessati ma anche per impedire il rilascio pubblico delle informazioni rubate. Ragnar Locker in genere sfrutta servizi esposti come Remote Desktop Protocol (RDP) per ottenere l'accesso al sistema. Gli aggressori potrebbero anche utilizzare password deboli o credenziali rubate per ottenere l'accesso al sistema. Il malware utilizza anche tecniche avanzate di evasione della difesa per aggirare il software antivirus.

Tutto quello che sappiamo sul ransomware Ragnar Locker

Nome confermato

• Virus Ragnar Locker

Tipo di minaccia

• Ransomware
• Criptovirus
• Armadietto dei file
• Doppia estorsione

Estensione file crittografati

• L'estensione del file varia a seconda delle macchine infette

Messaggio di richiesta di riscatto

Lettura consigliata:Cyclops Ransomware: la guida completa

• Il nome del file della richiesta di riscatto dipende dall'estensione

Nomi di rilevamento

• AvastWin32:RansomX-gen [Riscatto]
• EmsisoftGenerico.Ransom.Ragnar.91E669A1 (B)
• KasperskyTrojan-Ransom.Win32.RagnarLocker.a
• SophosTroj/Lothlock-A
• MicrosoftRiscatto:Win32/RagnarLocker.BM!MSR

Metodi di distribuzione

• Malvertising
• Truffe online
• Download guidati

Conseguenze

• Doppia tattica di estorsione: è qui che l'aggressore prima esfiltra i dati sensibili, poi attiva l'attacco di crittografia, minacciando di far trapelare i dati rubati se la vittima si rifiuta di pagare il riscatto
• Algoritmo di crittografia: Ragnar Locker utilizza l'algoritmo di crittografia Salsa20 con una matrice personalizzata, che viene riempita con le chiavi generate posizionate in un ordine riorganizzato
• Estensioni di file randomizzate: Ragnar Locker randomizza le estensioni dei file per utente recuperando il valore del nome del computer e passandolo al pezzo di codice successivo

È disponibile un decryptor gratuito?

NO.Al momento non è disponibile alcun decryptor pubblico noto per il ransomware Ragnar Locker.

Quali sono gli IOC del ransomware Ragnar Locker?

Gli indicatori di compromesso (IOC) sono artefatti osservati su una rete o in un sistema operativo che indicano un'intrusione informatica con elevata probabilità. Gli IOC possono essere utilizzati per il rilevamento tempestivo di futuri tentativi di attacco utilizzando sistemi di rilevamento delle intrusioni e software antivirus. Per determinare se il tuo computer o la tua rete sono stati infettati dal ransomware Ragnar Locker, puoi cercare i seguenti segnali:

• File crittografati. Controlla se i tuoi file sono stati crittografati e sono inaccessibili. Il ransomware Ragnar Locker crittografa i file e vi aggiunge estensioni di file specifiche, rendendoli inutilizzabili senza la chiave di decrittazione.
• Nota di riscatto. Cerca una richiesta di riscatto lasciata dagli aggressori. Ragnar Locker in genere lascia una nota in cui spiega la situazione e fornisce istruzioni su come pagare il riscatto.
• Comportamento insolito del sistema. Presta attenzione a qualsiasi comportamento insolito del tuo computer, come prestazioni lente, arresti anomali frequenti o messaggi popup imprevisti.
• Attività di rete sospetta. Ragnar Locker sfrutta spesso servizi esposti come Remote Desktop Protocol (RDP) per ottenere l'accesso al sistema. Monitora la tua rete per eventuali attività sospette relative a RDP o altre connessioni di rete insolite.

Richiesta di riscatto di Ragnar Locker

La richiesta di riscatto associata al ransomware Ragnar Locker viene solitamente visualizzata sullo schermo della vittima dopo il processo di crittografia. La nota può includere il nome dell'organizzazione presa di mira e afferma che tutti i file sono stati crittografati e possono essere decrittografati solo utilizzando strumenti o chiavi specifici. Questo è un esempio della richiesta di riscatto Ragnar Locker:

Se ti accorgi di essere vittima di un ransomware, contattare gli esperti di rimozione del ransomware SalvageData ti fornirà un servizio sicuro di recupero dati e rimozione del ransomware dopo un attacco.

Come si diffonde il ransomware Ragnar Locker

Il ransomware Ragnar Locker sfrutta varie vulnerabilità per infettare i sistemi, tra cui:

• Servizi esposti: Ragnar Locker in genere sfrutta servizi esposti come Remote Desktop Protocol (RDP) per ottenere l'accesso al sistema.
• Password deboli: gli aggressori possono utilizzare la forza bruta per indovinare password deboli o utilizzare credenziali rubate per ottenere l'accesso al sistema.
• Tecniche di evasione della difesa: Ragnar Locker utilizza tecniche avanzate di evasione della difesa per aggirare il software antivirus.

Come funziona il ransomware Ragnar Locker?

Il ransomware Ragnar Locker utilizza tecniche avanzate di evasione della difesa per aggirare il software antivirus. Il ransomware Ragnar Locker funziona seguendo un processo specifico che gli consente di crittografare i file e richiedere un riscatto alla vittima per recuperare i propri file. Ecco una panoramica di come funziona il ransomware Ragnar Locker:

Sfruttare i servizi esposti

Ragnar Locker in genere sfrutta servizi esposti come Remote Desktop Protocol (RDP) per ottenere l'accesso al sistema.

Ottenere l'accesso al sistema

Una volta che gli aggressori riescono ad accedere al sistema, tentano di ottenere maggiori privilegi e di spostarsi lateralmente attraverso la rete.

Rubare file sensibili

Gli aggressori esfiltrano dati sensibili dal sistema preso di mira.

Attivazione dell'attacco crittografico

Dopo aver rubato i file sensibili, gli aggressori avviano il processo di crittografia, crittografando i file della vittima e rendendoli inaccessibili.

Visualizzazione della richiesta di riscatto

Gli aggressori visualizzano una richiesta di riscatto sullo schermo della vittima, spiegando la situazione e fornendo istruzioni su come pagare il riscatto.

Minacciando di divulgare i dati rubati

Nella tattica della doppia estorsione, gli aggressori minacciano di rendere pubblici i dati rubati se la vittima si rifiuta di pagare il riscatto.

Non pagare il riscatto!Si consiglia alle vittime degli attacchi ransomware Ragnar Locker di segnalare l'incidente alle forze dell'ordine e di chiedere assistenza a un professionista rispettabile della sicurezza informatica.

Come gestire un attacco ransomware Ragnar Locker

Importante:Il primo passo dopo aver identificato gli IOC di Ragnar Locker è ricorrere al piano di risposta agli incidenti (IRP). Idealmente, hai un Incident Response Retainer (IRR) con un team fidato di professionisti che può essere contattato 24 ore su 24, 7 giorni su 7, 365 giorni all'anno, e che possono intraprendere azioni immediate per prevenire la perdita di dati, ridurre o eliminare il pagamento del riscatto e aiutarti a risolvere eventuali responsabilità legali. Per quanto ne sappiamo con le informazioni di cui disponiamo al momento della pubblicazione di questo articolo, il primo passo che un team di esperti di recupero ransomware dovrebbe intraprendere è isolare il computer infetto disconnettendolo da Internet e rimuovendo qualsiasi dispositivo connesso.

Allo stesso tempo questo team ti aiuterà a contattare le autorità locali del tuo Paese. Per i residenti e le imprese statunitensi, è ilufficio locale dell'FBIe ilCentro reclami sulla criminalità su Internet (IC3). Per segnalare un attacco ransomware devi raccogliere tutte le informazioni possibili al riguardo, tra cui:

• Screenshot della richiesta di riscatto
• Comunicazioni con gli autori del ransomware (se ne hai)
• Un campione di un file crittografato

Tuttavia, se non disponi di un IRP o IRR, puoi comunquecontattare i professionisti della rimozione e del recupero del ransomware. Questa è la migliore linea d'azione e aumenta notevolmente le possibilità di rimuovere con successo il ransomware, ripristinare i dati e prevenire attacchi futuri. Ti consigliamo di farlolasciare tutte le macchine infette così come sonoe chiama unservizio di recupero ransomware di emergenza.Il riavvio o lo spegnimento del sistema potrebbe compromettere il processo di ripristino. Catturare la RAM di un sistema live può aiutare a ottenere la chiave di crittografia, mentre catturare un file dropper potrebbe essere sottoposto a ingegneria inversa e portare alla decrittografia dei dati o alla comprensione di come funziona.

Cosa NON fare per riprendersi da un attacco ransomware Ragnar Locker

Devinon eliminare il ransomwaree conservare ogni prova dell'attacco. Questo è importante perforense digitalein modo che gli esperti possano risalire al gruppo di hacker e identificarli. È utilizzando i dati presenti sul sistema infetto che le autorità possono farloindagare sull'attacco e trovare il responsabile.Un'indagine su un attacco informatico non è diversa da qualsiasi altra indagine penale: ha bisogno di prove per trovare gli aggressori.

1. Contattare il fornitore di risposta agli incidenti

Una risposta agli incidenti informatici è il processo di risposta e gestione di un incidente di sicurezza informatica. Un Incident Response Retainer è un contratto di servizio con un fornitore di sicurezza informatica che consente alle organizzazioni di ottenere aiuto esterno in caso di incidenti di sicurezza informatica. Fornisce alle organizzazioni una forma strutturata di competenza e supporto attraverso un partner di sicurezza, consentendo loro di rispondere in modo rapido ed efficace durante un incidente informatico. Un servizio di risposta agli incidenti offre tranquillità alle organizzazioni, offrendo supporto esperto prima e dopo un incidente di sicurezza informatica. La natura e la struttura specifica di un servizio di risposta agli incidenti varierà a seconda del fornitore e dei requisiti dell'organizzazione. Un buon servizio di risposta agli incidenti dovrebbe essere robusto ma flessibile e fornire servizi comprovati per migliorare la posizione di sicurezza a lungo termine di un'organizzazione.Se contatti il ​​tuo fornitore di servizi IR, si prenderanno cura di tutto il resto.Tuttavia, se decidi di rimuovere il ransomware e ripristinare i file con il tuo team IT, puoi seguire i passaggi successivi.

2. Identificare l'infezione ransomware

Puoiidentificare quale ransomwareha infettato il tuo computer tramite l'estensione del file (alcuni ransomware utilizzano l'estensione del file come nome), oppure sarà sulla richiesta di riscatto. Con queste informazioni, puoi cercare una chiave di decrittazione pubblica. Puoi anche verificare il tipo di ransomware tramite i suoi IOC. Gli indicatori di compromesso (IOC) sono indizi digitali che i professionisti della sicurezza informatica utilizzano per identificare compromissioni del sistema e attività dannose all'interno di una rete o di un ambiente IT. Si tratta essenzialmente di versioni digitali delle prove lasciate sulla scena del crimine e i potenziali IOC includono traffico di rete insolito, accessi di utenti privilegiati da paesi stranieri, strane richieste DNS, modifiche ai file di sistema e altro ancora. Quando viene rilevato un IOC, i team di sicurezza valutano le possibili minacce o ne convalidano l'autenticità. Gli IOC forniscono anche prove di ciò a cui un utente malintenzionato ha avuto accesso se si è infiltrato nella rete.

3. Rimuovere il ransomware ed eliminare gli exploit kit

Prima di recuperare i tuoi dati, devi garantire che il tuo dispositivo sia privo di ransomware e che gli aggressori non possano effettuare un nuovo attacco tramite exploit kit o altre vulnerabilità. Un servizio di rimozione ransomware può eliminare il ransomware, creare un documento forense per le indagini, eliminare le vulnerabilità e recuperare i tuoi dati. Utilizza un software antimalware/antiransomware per mettere in quarantena e rimuovere il software dannoso.

Importante:Contattando i servizi di rimozione ransomware puoi assicurarti che il tuo computer e la tua rete non abbiano traccia del ransomware Ragnar Locker. Inoltre, questi servizi possono applicare patch al tuo sistema, prevenendo nuovi attacchi ransomware.

4. Utilizzare un backup per ripristinare i dati

I backup sono il modo più efficiente per ripristinare i dati. Assicurati di conservare backup giornalieri o settimanali, a seconda dell'utilizzo dei dati.

5. Contatta un servizio di recupero ransomware

Se non disponi di un backup o hai bisogno di aiuto per rimuovere il ransomware ed eliminare le vulnerabilità, contatta un servizio di recupero dati. Il pagamento del riscatto non garantisce che i tuoi dati ti verranno restituiti. L'unico modo garantito per ripristinare ogni file è se ne hai un backup. In caso contrario, i servizi di recupero dati ransomware possono aiutarti a decrittografare e recuperare i file. Gli esperti di SalvageData possono ripristinare in sicurezza i tuoi file e impedire al ransomware Ragnar Locker di attaccare nuovamente la tua rete. Contatta i nostri esperti 24 ore su 24, 7 giorni su 7 per il servizio di recupero di emergenza.

Previeni un attacco ransomware

Prevenire il ransomware è la soluzione migliore per la sicurezza dei dati. è più facile ed economico che recuperarli. Il ransomware Ragnar Locker può costare il futuro della tua azienda e persino chiudere i battenti. Ecco alcuni suggerimenti per assicurarti di poterlo fareevitare attacchi ransomware:

• Installa software antivirus e antimalware.
• Utilizza soluzioni di sicurezza informatica affidabili.
• Utilizza password complesse e sicure.
• Mantenere aggiornati software e sistemi operativi.
• Implementa firewall per una maggiore protezione.
• Creare un piano di recupero dati.
• Pianifica regolarmente i backup per salvaguardare i tuoi dati.
• Prestare attenzione agli allegati e-mail e ai download provenienti da fonti sconosciute o sospette.
• Verifica la sicurezza degli annunci prima di fare clic su di essi.
• Accedi ai siti Web solo da fonti attendibili.