MedusaLocker Ransomware: complete gids

De MedusaLocker-ransomware werd voor het eerst ontdekt in september 2019 en heeft sindsdien systemen in meerdere sectoren geïnfecteerd en gecodeerd, met als voornaamste doelwit de gezondheidszorgsector. De MedusaLocker-actoren vertrouwen voornamelijk op kwetsbaarheden in externe diensten om toegang te krijgen tot de netwerken van slachtoffers. De actoren gebruiken diensten zoals RDP, PsExec en SMB om andere hosts in het netwerk van het slachtoffer te infecteren.

Experts van SalvageData raden proactieve maatregelen voor gegevensbeveiliging aan, zoals regelmatige back-ups, krachtige cyberbeveiligingspraktijken en het up-to-date houden van software, ter bescherming tegen ransomware-aanvallen. En,Neem bij een ransomware-aanval direct contact op met onze ransomware-herstelexperts.

Zie ook:MEOW Ransomware: complete gids

Wat voor soort malware is MedusaLocker?

MedusaLocker is een ransomware waarvan bekend is dat deze zich richt op meerdere organisaties, met name gezondheidszorg- en farmaceutische bedrijven. Het werkt als een Ransomware-as-a-Service (RaaS)-model, gebaseerd op de waargenomen verdeling van losgeldbetalingen. Hoewel het een vergelijkbare naam heeft, is er geen duidelijk bewijs dat MedusaLocker enig verband heeft met de Medusa-ransomware.

Alles wat we weten over de MedusaLocker-ransomware

Bevestigde naam

MedusaLocker-virus

Bedreigingstype

Ransomware
Crypto-virus
Bestandenkluis
Dubbele afpersing

Is er een gratis decryptor beschikbaar?Nee, er is geen openbare decryptor voor de MedusaLocker-ransomware.Distributiemethoden

Phishing-e-mails
Diensten op afstand

Gevolgen

Bestanden worden gecodeerd en vergrendeld
Datalek
Dubbele afpersing

Wat staat er in de losgeldbrief van MedusaLocker?

De losgeldbrief wordt in elke map geplaatst en schetst hoe u met de aanvallers kunt communiceren en het losgeld in Bitcoin kunt betalen. Het waarschuwt slachtoffers ook voor het hernoemen, wijzigen of proberen te decoderen van de gecodeerde bestanden met behulp van decryptors van derden, waarbij wordt verklaard dat dit deze permanent zou beschadigen, en adviseert tegen het wijzigen of hernoemen van de gecodeerde bestanden.

Als u zich realiseert dat u een ransomware-slachtoffer bent, kunt u door contact op te nemen met de experts op het gebied van ransomware-verwijdering van SalvageData een veilige service voor gegevensherstel en verwijdering van ransomware na een aanval krijgen.

MedusaLocker ransomware-methoden voor infectie en codering

De MedusaLocker-ransomware gebruikt verschillende technieken om andere hosts in het netwerk van het slachtoffer te verspreiden en te infecteren.

Diensten op afstand: MedusaLocker-ransomware maakt gebruik van externe services zoals Remote Desktop Protocol (RDP), PsExec en Server Message Block (SMB).
Phishing-campagnes: MedusaLocker-ransomware kan ook toegang krijgen tot netwerken via phishing-campagnes waarbij de malware aan e-mails is toegevoegd.

Zodra de MedusaLocker-ransomware toegang krijgt tot een netwerk, volgt deze de typische levenscyclus van een ransomware-aanval en blokkeert de slachtoffers de toegang tot hun gegevens. Het versleutelt de gegevens van het slachtoffer door een combinatie van AES en RSA-2048 te gebruiken. MedusaLocker zorgt voor persistentie door lokale back-ups te verwijderen, opstartherstel uit te schakelen en uiteindelijk een losgeldbrief te plaatsen in elke map die een bestand bevat met de gecodeerde gegevens van de besmette host.

Voldoe niet aan de eis om losgeld!Neem contact op met de lokale autoriteiten en een ransomware-verwijderingsservice om uw bestanden te herstellen en eventuele bedreigingen te verwijderen.

Bekende MedusaLocker ransomware IOC's

IOC staat voor “Indicator of Compromise” in de context van cybersecurity. Het is een forensische term die verwijst naar het bewijsmateriaal op een apparaat dat wijst op een inbreuk op de beveiliging. Hoewel de gegevens van het IOC worden verzameld na een verdacht incident, een beveiligingsgebeurtenis of onverwachte oproepen van het netwerk, is het een goede cyberbeveiligingspraktijk om de IOC-gegevens regelmatig te controleren om ongebruikelijke activiteiten en kwetsbaarheden op te sporen. IOC omvat bestandsextensies, IP-adressen, bestandshashes, e-mailadressen, betalingsportefeuilles en bestandsnamen voor losgeldnota's. Omdat MedusaLocker RaaS is, zullen de IOC's variëren afhankelijk van de variant en de cybercriminele bende die het exploiteert.CISA's MedusaLocker-adviesomvat ook de volgende IOC's:Bekende bestandsnamen voor losgeldnota's:

how_to_herstel_data.html
how_to_recover_data.html.marlock01
instructies.html
LEESINSTRUCTIE.html
!!!HOW_TO_DECRYPT!!!.

Bekende gecodeerde bestandsextensies:

.1btc
.matlock20
.leesinstructies
.bec
.mijnslot
.deadfilesgr
.lockbestanden
.tyco
.fileslock
.zoomzoom
.marlock08
.marlock25

Hoe om te gaan met een MedusaLocker-ransomware-aanval

De eerste stap bij het herstellen van een MedusaLocker-aanval is het isoleren van de geïnfecteerde computer door de verbinding met het internet te verbreken en alle aangesloten apparaten te verwijderen. Dan moet u contact opnemen met de lokale autoriteiten. In het geval van inwoners en bedrijven in de VS is dit deFBIen deKlachtencentrum Internetcriminaliteit (IC3)Om een ransomware-aanval te melden, moet u alle mogelijke informatie hierover verzamelen, waaronder:

Screenshots van de losgeldbrief
Communicatie met dreigingsactoren (als u die heeft)
Een voorbeeld van een gecodeerd bestand

Echter, als u dat liever heeftcontact opnemen met professionals, dan is het het beste omlaat elke geïnfecteerde machine zoals hij isen vraag om eennoodverwijderingsservice voor ransomware. Deze professionals zijn uitgerust om de schade snel te beperken, bewijsmateriaal te verzamelen, de codering mogelijk ongedaan te maken en het systeem te herstellen.

Het opnieuw opstarten of afsluiten van het systeem kan het herstel van het systeem in gevaar brengen. Het vastleggen van het RAM-geheugen van een live systeem kan helpen bij het verkrijgen van de encryptiesleutel, en het vangen van een dropper-bestand, d.w.z. een bestand dat de kwaadaardige lading uitvoert, kan helpen bij het reverse-engineeren van de encryptie zelf en leiden tot de decryptie van de gegevens of een beter begrip van hoe deze werkt.

1. Neem contact op met uw Incident Response-leverancier

Een Cyber Incident Response is het proces van reageren op en beheren van een cyberbeveiligingsincident. Een Incident Response Retainer is een serviceovereenkomst met een cybersecurityprovider waarmee organisaties externe hulp kunnen krijgen bij cybersecurity-incidenten. Het biedt organisaties een gestructureerde vorm van expertise en ondersteuning via een beveiligingspartner, waardoor ze snel en effectief kunnen reageren tijdens een cyberincident. Een incidentresponsretainer biedt organisaties gemoedsrust en biedt deskundige ondersteuning voor en in de nasleep van een cyberbeveiligingsincident. De specifieke aard en structuur van een incidentresponshouder zal variëren afhankelijk van de aanbieder en de vereisten van de organisatie. Een goede incidentresponshouder moet robuust maar flexibel zijn en bewezen diensten leveren om de beveiligingspositie van een organisatie op de lange termijn te verbeteren.Als u contact opneemt met uw IR-serviceprovider, kunnen zij het onmiddellijk overnemen en u bij elke stap in het herstel van de ransomware begeleiden.Als u echter besluit de ransomware zelf te verwijderen en de bestanden samen met uw IT-team te herstellen, kunt u de volgende stappen volgen.

2. Identificeer de ransomware-infectie

U kunt identificeren welke ransomware uw machine heeft geïnfecteerd aan de hand van de bestandsextensie (sommige ransomware gebruikt de bestandsextensie als naam),met behulp van een ransomware-ID-tool, anders staat het op de losgeldbrief. Met deze informatie kunt u zoeken naar een openbare decoderingssleutel.

3. Verwijder de ransomware en elimineer exploitkits

Voordat u uw gegevens herstelt, moet u garanderen dat uw apparaat vrij is van ransomware en dat de aanvallers geen nieuwe aanval kunnen uitvoeren via exploitkits of andere kwetsbaarheden. Een ransomware-verwijderingsservice kan de ransomware verwijderen, een forensisch document voor onderzoek maken, kwetsbaarheden elimineren en uw gegevens herstellen.

4. Gebruik een back-up om de gegevens te herstellen

Het belang van back-up voor gegevensherstel kan niet genoeg worden benadrukt, vooral in de context van verschillende potentiële risico's en bedreigingen voor de gegevensintegriteit. Back-ups zijn een cruciaal onderdeel van een alomvattende strategie voor gegevensbescherming. Ze bieden een middel om te herstellen van een verscheidenheid aan bedreigingen, waardoor de continuïteit van de activiteiten wordt gewaarborgd en waardevolle informatie wordt bewaard. In het geval van ransomware-aanvallen, waarbij kwaadaardige software uw gegevens versleutelt en betaling eist voor de vrijgave ervan, kunt u met een back-up uw gegevens herstellen zonder te bezwijken voor de eisen van de aanvaller. Zorg ervoor dat u uw back-upprocedures regelmatig test en bijwerkt om de effectiviteit ervan bij de bescherming tegen mogelijke scenario's van gegevensverlies te vergroten. Er zijn verschillende manieren om een back-up te maken, dus u moet het juiste back-upmedium kiezen en ten minste één kopie van uw gegevens offsite en offline opslaan.

5. Neem contact op met een ransomware-herstelservice

Als u geen back-up heeft of hulp nodig heeft bij het verwijderen van de malware en het elimineren van kwetsbaarheden, neem dan contact op met een gegevensherstelservice. Het betalen van het losgeld garandeert niet dat uw gegevens aan u worden geretourneerd. De enige gegarandeerde manier waarop u elk bestand kunt herstellen, is als u een back-up hebt. Als u dat niet doet, kunnen ransomware-gegevenshersteldiensten u helpen de bestanden te decoderen en te herstellen. De experts van SalvageData kunnen uw bestanden veilig herstellen en voorkomen dat de MedusaLocker-ransomware uw netwerk opnieuw aanvalt. Neem 24/7 contact op met onze herstelexperts. Wat u NIET moet doen na een ransomware-aanval U moetverwijder de ransomware nieten bewaar elk bewijs van de aanval. Dat is belangrijk voordigitaal forensisch onderzoekzodat experts de hackergroep kunnen herleiden en identificeren. Het is door de gegevens op uw geïnfecteerde systeem te gebruiken dat de autoriteiten dit kunnen doenonderzoek de aanval en vind de verantwoordelijke.Een cyberaanvalonderzoek verschilt niet van ieder ander strafrechtelijk onderzoek: er is bewijsmateriaal nodig om de aanvallers te kunnen opsporen.

Voorkom de MedusaLocker-ransomware-aanval

Het voorkomen van ransomware is de beste oplossing voor gegevensbeveiliging, omdat het eenvoudiger en goedkoper is dan het herstellen van aanvallen. De MedusaLocker-ransomware kan de toekomst van uw bedrijf schaden en zelfs de deuren sluiten. Door deze proactieve maatregelen te nemen, kunnen individuen en organisaties het risico op een MedusaLocker-ransomware-aanval verkleinen en voorkomen dat hun gegevens worden gecodeerd en tegen losgeld worden vastgehouden. Dit zijn een paar tips om ervoor te zorgen dat u ransomware-aanvallen kunt voorkomen:

Medewerkers opleidenop het gebied van cyberbeveiliging en phishing-bewustzijn om hen te helpen phishing-pogingen te herkennen en te voorkomen.
Beveiligingsmaatregelen implementeren, zoals firewalls, antivirussoftware en inbraakdetectiesystemen, om kwaadaardig verkeer te detecteren en te blokkeren.
Blijf waakzaamen controleer de netwerkactiviteit op tekenen van verdacht gedrag.
Houd software up-to-datemet de nieuwste beveiligingspatches om te voorkomen dat ransomware ongepatchte kwetsbaarheden misbruikt.
Implementeer sterke toegangscontroles,zoals meervoudige authenticatie en regelmatige controle van inloggegevens, om te voorkomen dat ransomware-exploitanten toegang krijgen tot systemen met behulp van gestolen of zwakke inloggegevens.
Beveilig onbeheerde apparaten en BYOD-beleiddoor beveiligingsmaatregelen te implementeren, zoals apparaatversleuteling en mogelijkheden voor extern wissen.
Scan en patch regelmatig internetgerichte applicatiesom te voorkomen dat ransomware-exploitanten kwetsbaarheden misbruiken.