CloAk ransomware yra palyginti nauja išpirkos reikalaujančių programų grupė, atsiradusi nuo 2022 m. pabaigos iki 2023 m. pradžios. Išpirkos reikalaujančios programinės įrangos grupės kilmė ir tapatybė šiuo metu nežinoma. Ši išpirkos reikalaujanti programa naudoja nuosavus užkrėsto įrenginio išteklius duomenims išfiltruoti, o savo išteklius – grėsmei užšifruoti, kad būtų užšifruoti failai. auka privalo sumokėti išpirką, o grupuotė turi žinomą turto prievartavimo svetainę, kurioje parduoda ir nutekina savo aukų duomenis. Cloak nutekėjimo svetainėje išvardytos aukos rodo tam tikrą geografinį susitelkimą, o pagrindinės šalys, į kurias taikosi, yra Vokietija, Italija, Taivanas ir Prancūzija.
„SalvageData“ ekspertai rekomenduoja imtis aktyvių duomenų saugumo priemonių, tokių kaip reguliarios atsarginės kopijos, griežta kibernetinio saugumo praktika ir programinės įrangos atnaujinimas, kad apsisaugotų nuo išpirkos reikalaujančių programų atakų. Ir,išpirkos reikalaujančios programinės įrangos atakos atveju susisiekite su mūsųransomware atkūrimo ekspertainedelsiant.
Kokia kenkėjiška programa yra CloAk?
Cloak arba CloAk ransomware yra kenkėjiškų programų rūšis, kuri užšifruoja aukos duomenis ir reikalauja išpirkos mokėjimo mainais už iššifravimo raktą. Cloak ransomware grupė turi žinomą turto prievartavimo svetainę, kurioje jie parduoda ir nutekina savo aukų duomenis. Išpirkos reikalaujanti programa taip pat bando pašalinti šešėlines kopijas (VSS) naudodama komandą vssadmin.exe delete shadows /all /quiet. Po šifravimo paveikti failai pervardijami naudojant plėtinius .crYptA arba .crYptB, o šis šablonas gali tęstis iki .crYptE pagal abėcėlę iš eilės su paskutine plėtinio raide. Išpirkos reikalaujanti programa taip pat atitolina naudingosios apkrovos vykdymą per paslėptą komandą: ¬/c TIMEOUT /T.
Viskas, ką žinome apie „CloAk Ransomware“.
Patvirtintas vardas
- CloAk virusas
Grėsmės tipas
- Ransomware
- Kripto virusas
- Failų spintelė
- Dvigubas turto prievartavimas
Šifruotų failų plėtinys
- .crYptA
- .crYptB
- .crYptC
- .crYptD
- .crypt
Išpirkos reikalaujantis pranešimas
- readme_for_unlock.txt
Ar yra nemokamas iššifruotojas?Ne, nėra viešojo CloAk išpirkos reikalaujančios programinės įrangos iššifruotojo.Paskirstymo būdai
- Socialinė inžinerija
- Malvertizavimas
- Išnaudoti rinkinius
- Malvertizavimas
- Nuotolinio darbalaukio protokolas (RDP)
- Pavogti įgaliojimai
- Atsisiuntimas važiuojant
- Piratinė programinė įranga
Pasekmės
- Failai yra užšifruoti ir užrakinti iki išpirkos mokėjimo
- Duomenų nutekėjimas
- Dvigubas turto prievartavimas
Kas yra CloAk išpirkos raštelyje
Cloak ransomware rodo išpirkos pranešimą, pavadintą readme_for_unlock.txt, kuriame reikalaujama sumokėti mainais už iššifravimo raktą. Pranešimas apie išpirką yra skirtas įbauginti auką sumokėti išpirką. CloAk išpirkos raštelio turinio pavyzdys:
Jei suprantate, kad esate išpirkos reikalaujančių programų auka, susisiekę su „SalvageData“ išpirkos reikalaujančių programų pašalinimo ekspertais suteiksite saugią duomenų atkūrimo paslaugą ir išpirkos reikalaujančių programų pašalinimą po atakos.
Kaip „CloAk“ išpirkos reikalaujanti programa užkrečia įrenginį ar tinklą?
Socialinė inžinerija
Sukčiavimas yra labiausiai paplitęs išpirkos reikalaujančių programų grupių naudojamas būdas užkrėsti sistemas. Užpuolikas siunčia el. laišką, kuris atrodo iš teisėto šaltinio, pvz., banko ar laivybos įmonės, ir apgaudinėja auką spustelėti nuorodą arba atsisiųsti priedą, kuriame yra išpirkos reikalaujančios programos.
Malvertising ir Exploit rinkiniai
Kenkėjiška reklama yra internetinės reklamos, kuri atrodo teisėta, naudojimas kenkėjiškoms programoms platinti. Išnaudojimo rinkiniai yra iš anksto supakuota programinė įranga, kurią galima naudoti sistemos pažeidžiamumui išnaudoti.
Nuotolinio darbalaukio protokolas (RDP)
Užpuolikai gali naudoti žinomus pažeidžiamumus arba brutalios jėgos atakas, kad gautų prieigą prie sistemos per KPP. Kai jie turės prieigą, jie gali įdiegti išpirkos reikalaujančią programinę įrangą sistemoje.
„Drive-by“ atsisiuntimai
Tai metodas, kai užpuolikai užkrečia svetainę kenkėjiška programa. Kai auka apsilanko svetainėje, kenkėjiška programa atsisiunčiama į jų sistemą be jos žinios.
Piratinė programinė įranga
Užpuolikai gali užkrėsti piratinę programinę įrangą išpirkos reikalaujančia programine įranga ir platinti ją per torrent svetaines ar kitas dalijimosi failais platformas.
Kaip veikia „CloAk“ išpirkos reikalaujanti programa
Pradinė prieiga
Kibernetinis veikėjas įgyja prieigą prie tinklo ar įrenginio naudodamas įvairius metodus, pvz., socialinę inžineriją, netinkamą reklamavimą, išnaudojimo rinkinius, nuotolinio darbalaukio protokolą (RDP), pavogtus kredencialus, atsisiuntimus ar piratinę programinę įrangą.
Žvalgas
Kai užpuolikas gauna prieigą, jis pradeda žvalgybą, kad nustatytų taikinio tinklą ir įrenginius.
Šoninis judėjimas
Užpuolikas juda į šoną tinkle, kad gautų prieigą prie visų įrenginių ir sistemų.
Eksfiltracija
Užpuolikas išfiltruoja duomenis iš tinklo ar mašinos, kuri vėliau naudojama grasinant aukai sumokėti išpirką.
Ransomware diegimas
Užpuolikas naudoja „Cloak“ išpirkos reikalaujančią programinę įrangą, kad užšifruotų aukos duomenis.
Išpirkos paklausa ir duomenų nutekėjimas
Išpirkos reikalaujanti programa aukai rodo pranešimą, kuriame paaiškinama, kad failai nepasiekiami ir vėl juos galima pasiekti tik sumokėjus išpirką užpuolikams. Cloak ransomware grupė turi žinomą turto prievartavimo svetainę, kurioje parduoda ir nutekina savo aukų duomenis.
Nemokėkite išpirkos!Kreipdamiesi į išpirkos reikalaujančių programų pašalinimo paslaugą galite ne tik atkurti failus, bet ir pašalinti bet kokią galimą grėsmę.
Kaip susidoroti su „CloAk“ išpirkos reikalaujančios programos ataka
Pirmasis žingsnis norint atsigauti po „CloAk“ atakos yra izoliuoti užkrėstą kompiuterį, atjungiant jį nuo interneto ir pašalinant bet kokį prijungtą įrenginį. Tada turite susisiekti su vietos valdžios institucijomis. JAV gyventojų ir įmonių atveju tai yravietos FTB biurasirInterneto nusikaltimų skundų centras (IC3).Norėdami pranešti apie išpirkos reikalaujančios programos ataką, turite surinkti visą informaciją apie ją, įskaitant:
- Išpirkos užrašo ekrano nuotraukos
- Bendravimas su grėsmės veikėjais (jei tokių turite)
- Šifruoto failo pavyzdys
Tačiau, jei noritesusisiekti su specialistais, tada nieko nedaryk.Palikite kiekvieną užkrėstą įrenginį tokį, koks jis yrair paprašyti anavarinio išpirkos reikalaujančių programų pašalinimo paslauga. Sistemos paleidimas iš naujo arba išjungimas gali pakenkti atkūrimo paslaugai. Užfiksavus veikiančios sistemos RAM gali būti lengviau gauti šifravimo raktą, o užfiksavus dropper failą, t. y. failą, vykdantį kenkėjišką naudingą apkrovą, gali būti atlikta atvirkštinė inžinerija ir gali būti iššifruoti duomenys arba suprasti, kaip jis veikia.neištrinti išpirkos reikalaujančios programosir saugokite visus išpuolio įrodymus. Tai svarbu dėlskaitmeninė kriminalistikakad ekspertai galėtų atsekti įsilaužėlių grupę ir juos identifikuoti. Institucijos gali naudoti užkrėstos sistemos duomenisištirti užpuolimą ir surasti atsakingąjį.Kibernetinės atakos tyrimas nesiskiria nuo bet kurio kito kriminalinio tyrimo: norint surasti užpuolikus, reikia įrodymų.
1. Susisiekite su savo Reagavimo į incidentus teikėją
Reagavimas į kibernetinį incidentą – tai reagavimo į kibernetinio saugumo incidentą ir jo valdymo procesas. Reagavimo į incidentus saugotojas yra paslaugų sutartis su kibernetinio saugumo tiekėju, leidžianti organizacijoms gauti išorinę pagalbą kibernetinio saugumo incidentams. Ji suteikia organizacijoms struktūrizuotą patirtį ir paramą per saugos partnerį, leidžiančią joms greitai ir efektyviai reaguoti kibernetinio incidento metu. Reagavimo į incidentą laikiklis suteikia organizacijoms ramybę ir siūlo ekspertų pagalbą prieš ir po kibernetinio saugumo incidento. Specifinis reagavimo į incidentą laikytojo pobūdis ir struktūra skirsis priklausomai nuo teikėjo ir organizacijos reikalavimų. Geras reagavimo į incidentus laikiklis turėtų būti tvirtas, bet lankstus ir teikti patikrintas paslaugas, kurios pagerintų organizacijos ilgalaikę apsaugą.Jei susisieksite su savo IR paslaugų teikėju, jis gali nedelsdamas perimti ir padėti atlikti kiekvieną išpirkos reikalaujančių programų atkūrimo veiksmą.Tačiau jei nuspręsite patys pašalinti išpirkos reikalaujančią programinę įrangą ir atkurti failus kartu su IT komanda, galite atlikti kitus veiksmus.
Rekomenduojama skaityti:Cactus Ransomware: Visas vadovas
2. Nustatykite išpirkos reikalaujančią programinę įrangą
Galite nustatyti, kuri išpirkos reikalaujanti programa užkrėtė jūsų kompiuterį pagal failo plėtinį (kai kurios išpirkos reikalaujančios programos naudoja failo plėtinį kaip savo pavadinimą),naudojant ransomware ID įrankį, arba tai bus ant išpirkos raštelio. Turėdami šią informaciją galite ieškoti viešojo iššifravimo rakto. Taip pat galite patikrinti išpirkos reikalaujančios programos tipą pagal jo IOC. Kompromiso rodikliai (IOC) yra skaitmeniniai užuominos, kurias kibernetinio saugumo specialistai naudoja norėdami nustatyti sistemos pažeidimus ir kenkėjišką veiklą tinkle ar IT aplinkoje. Iš esmės tai yra skaitmeninės įrodymų, paliktų nusikaltimo vietoje, versijos, o potencialūs IOC apima neįprastą tinklo srautą, privilegijuotus vartotojų prisijungimus iš užsienio šalių, keistas DNS užklausas, sistemos failų pakeitimus ir kt. Kai aptinkamas IOC, saugos komandos įvertina galimas grėsmes arba patvirtina jos autentiškumą. IOC taip pat pateikia įrodymų, prie ko užpuolikas turėjo prieigą, jei įsiskverbė į tinklą.
3. Pašalinkite išpirkos reikalaujančią programinę įrangą ir pašalinkite išnaudojimo rinkinius
Prieš atkurdami duomenis, turite užtikrinti, kad jūsų įrenginyje nėra išpirkos reikalaujančių programų ir kad užpuolikai negalės surengti naujos atakos naudodami išnaudojimo rinkinius ar kitus pažeidžiamumus. Išpirkos reikalaujančių programų pašalinimo paslauga gali ištrinti išpirkos reikalaujančią programinę įrangą, sukurti teismo ekspertizės dokumentą tyrimui, pašalinti pažeidžiamumą ir atkurti jūsų duomenis.
4. Duomenims atkurti naudokite atsarginę kopiją
Atsarginės kopijos yra efektyviausias būdas atkurti duomenis. Atsižvelgdami į duomenų naudojimą, būtinai darykite atsargines kopijas kasdien arba kas savaitę.
5. Susisiekite su išpirkos reikalaujančių programų atkūrimo tarnyba
Jei neturite atsarginės kopijos arba jums reikia pagalbos pašalinant išpirkos reikalaujančią programinę įrangą ir pažeidžiamumą, susisiekite su duomenų atkūrimo tarnyba. Išpirkos sumokėjimas negarantuoja, kad jūsų duomenys bus jums grąžinti. Vienintelis garantuotas būdas atkurti kiekvieną failą yra atsarginė kopija. Jei to nepadarysite, išpirkos reikalaujančių programų duomenų atkūrimo paslaugos gali padėti iššifruoti ir atkurti failus. „SalvageData“ ekspertai gali saugiai atkurti failus ir neleisti „CloAk“ išpirkos reikalaujančios programinės įrangos vėl pulti jūsų tinklą. Dėl išpirkos reikalaujančių programų atkūrimo paslaugų susisiekite su mūsų ekspertais 24 valandas per parą, 7 dienas per savaitę.
Užkirsti kelią CloAk ransomware atakai
Išpirkos reikalaujančių programų prevencija yra geriausias duomenų saugumo sprendimas. yra lengviau ir pigiau nei atsigauti nuo jų. CloAk ransomware gali kainuoti jūsų verslo ateitį ir netgi uždaryti duris. Tai yra keli patarimai, kaip užtikrinti, kadišvengti ransomware atakų:
- Laikykite savo operacinė sistema ir programinė įranga yra atnaujintasu naujausiais saugos pataisymais ir atnaujinimais. Tai gali padėti išvengti pažeidžiamumų, kuriais gali pasinaudoti užpuolikai.
- Naudokite stiprius ir unikalius slaptažodžiusvisoms paskyroms ir, kai tik įmanoma, įgalinkite dviejų veiksnių autentifikavimą. Tai gali padėti užkirsti kelią užpuolikams pasiekti jūsų paskyras.
- Būkite atsargūs dėl įtartinų el. laiškų, nuorodų ir priedų.Neatidarykite el. laiškų ir nespauskite nuorodų ar priedų iš nežinomų ar įtartinų šaltinių.
- Naudokite patikimą antivirusinę ir kenkėjiškų programų programinę įrangąir nuolat atnaujinkite. Tai gali padėti aptikti ir pašalinti kenkėjiškas programas, kol jos nepadarys žalos.
- Naudokite ugniasienęblokuoti neteisėtą prieigą prie tinklo ir sistemų.
- Tinklo segmentavimaspadalyti didesnį tinklą į mažesnius antrinius tinklus su ribotu tarpusavio ryšiu. Tai apriboja užpuoliko judėjimą į šonus ir neleidžia neteisėtiems vartotojams pasiekti organizacijos intelektinės nuosavybės ir duomenų.
- Apriboti vartotojo teiseskad užpuolikai nepasiektų slaptų duomenų ir sistemų.
- Mokykite darbuotojus ir darbuotojusapie tai, kaip atpažinti sukčiavimo el. laiškus ir kitas socialinės inžinerijos atakas ir jų išvengti.
