Ragnar Locker Ransomware: de complete gids

Ragnar Locker is een familie van ransomware die in ieder geval sinds december 2019 actief is. Het staat erom bekend dat het zich richt op grote organisaties en probeert grote hoeveelheden cryptocurrency van zijn slachtoffers af te persen. Enkele belangrijke kenmerken van de Ragnar Locker-ransomware zijn onder meer: ​​Het is bekend dat de Ragnar Locker-groep een dubbele afpersingstactiek gebruikt, waarbij het losgeld niet alleen wordt betaald voor het herstellen van de getroffen bestanden, maar ook om te voorkomen dat de gestolen informatie aan het publiek wordt vrijgegeven. Terwijl sommige ransomware-exploitanten vrijwillige regels opleggen tegen het aanvallen van de overheid, militaire organisaties, gezondheidszorgaanbieders (ziekenhuizen) en kritieke infrastructuren zoals energiecentrales en pijpleidingexploitanten, heeft de Ragnar Locker-bedreigingsacteur een dergelijke afkeer niet. De Ragnar Locker-ransomware is gebruikt om verschillende organisaties aan te vallen, waaronder energiebedrijven, luchtvaartmaatschappijen en luxe modemerken.

Experts van SalvageData raden proactieve maatregelen voor gegevensbeveiliging aan, zoals regelmatige back-ups, krachtige cyberbeveiligingspraktijken en het up-to-date houden van software, ter bescherming tegen ransomware-aanvallen. En ikNeem in geval van een ransomware-aanval contact op met onzeexperts op het gebied van ransomwareherstelonmiddellijk.

Wat voor soort malware is RagnarLocker?

Ragnar Locker is een type ransomware dat apparaten met Microsoft Windows-besturingssystemen treft. Het is ontworpen om gegevens te versleutelen en losgeld van het slachtoffer te eisen om de bestanden te herstellen. Het is bekend dat de Ragnar Locker-groep een dubbele afpersingstactiek gebruikt, waarbij het losgeld niet alleen wordt betaald voor het herstellen van de getroffen bestanden, maar ook om te voorkomen dat de gestolen informatie aan het publiek wordt vrijgegeven. Ragnar Locker maakt doorgaans misbruik van blootgestelde services zoals Remote Desktop Protocol (RDP) om toegang te krijgen tot het systeem. De aanvallers kunnen ook zwakke wachtwoorden of gestolen inloggegevens gebruiken om toegang te krijgen tot het systeem. De malware maakt ook gebruik van geavanceerde verdedigingstechnieken om antivirussoftware te omzeilen.

Alles wat we weten over Ragnar Locker Ransomware

Bevestigde naam

• Ragnar Locker-virus

Bedreigingstype

• Ransomware
• Crypto-virus
• Bestandenkluis
• Dubbele afpersing

Gecodeerde bestandsextensie

• De bestandsextensie varieert op geïnfecteerde machines

Bericht waarin losgeld wordt geëist

Aanbevolen lees:Akira Ransomware: complete gids

• De bestandsnaam van de losgeldbrief is afhankelijk van de extensie

Detectie namen

• AvastWin32:RansomX-gen [Losgeld]
• EmsisoftGeneriek.Ransom.Ragnar.91E669A1 (B)
• KasperskyTrojan-Ransom.Win32.RagnarLocker.a
• SophosTroj/Lothlock-A
• MicrosoftLosgeld:Win32/RagnarLocker.BM!MSR

Distributiemethoden

• Malvertiseren
• Online oplichting
• Drive-by-downloads

Gevolgen

• Dubbele afpersingstactiek: Dit is waar de aanvaller eerst gevoelige gegevens exfiltreert en vervolgens de encryptie-aanval activeert, waarbij hij dreigt de gestolen gegevens te lekken als het doelwit weigert het losgeld te betalen
• Encryptie-algoritme: Ragnar Locker gebruikt het Salsa20-coderingsalgoritme met een aangepaste matrix, die wordt ingevuld met gegenereerde sleutels die in een herschikte volgorde zijn geplaatst
• Willekeurige bestandsextensies: Ragnar Locker randomiseert bestandsextensies per gebruiker door de waarde van de computernaam op te halen en deze door te geven aan het volgende stukje code

Is er een gratis decryptor beschikbaar?

Nee.Er is momenteel geen openbare decryptor voor de Ragnar Locker-ransomware beschikbaar.

Wat zijn de IOC's van de Ragnar Locker-ransomware?

Indicators of Compromise (IOC's) zijn artefacten die worden waargenomen op een netwerk of in een besturingssysteem en die met grote zekerheid wijzen op een computerinbraak. IOC's kunnen worden gebruikt voor vroege detectie van toekomstige aanvalspogingen met behulp van inbraakdetectiesystemen en antivirussoftware. Om te bepalen of uw computersysteem of netwerk is geïnfecteerd door de Ragnar Locker-ransomware, kunt u op de volgende tekenen letten:

• Gecodeerde bestanden. Controleer of uw bestanden gecodeerd zijn en niet toegankelijk zijn. De Ragnar Locker-ransomware versleutelt bestanden en voegt er specifieke bestandsextensies aan toe, waardoor ze onbruikbaar worden zonder de decoderingssleutel.
• Losgeldbriefje. Zoek naar een losgeldbriefje dat door de aanvallers is achtergelaten. Ragnar Locker laat doorgaans een briefje achter waarin de situatie wordt uitgelegd en instructies worden gegeven over hoe het losgeld moet worden betaald.
• Ongebruikelijk systeemgedrag. Let op ongewoon gedrag van uw computer, zoals trage prestaties, frequente crashes of onverwachte pop-upberichten.
• Verdachte netwerkactiviteit. Ragnar Locker maakt vaak misbruik van blootgestelde services zoals Remote Desktop Protocol (RDP) om toegang te krijgen tot het systeem. Controleer uw netwerk op verdachte activiteiten met betrekking tot RDP of andere ongebruikelijke netwerkverbindingen.

Losgeldbriefje van Ragnar Locker

Het losgeldbriefje dat verband houdt met de Ragnar Locker-ransomware verschijnt doorgaans op het scherm van het slachtoffer na het coderingsproces. De notitie kan de naam van de beoogde organisatie bevatten en er staat dat alle bestanden zijn gecodeerd en alleen kunnen worden gedecodeerd met behulp van specifieke tools of sleutels. Dit is een voorbeeld van de losgeldbrief van Ragnar Locker:

Als u zich realiseert dat u een ransomware-slachtoffer bent, kunt u door contact op te nemen met de experts op het gebied van ransomware-verwijdering van SalvageData een veilige service voor gegevensherstel en verwijdering van ransomware na een aanval krijgen.

Hoe verspreidt de Ragnar Locker-ransomware zich

Ragnar Locker ransomware maakt gebruik van verschillende kwetsbaarheden om systemen te infecteren, waaronder:

• Blootgestelde diensten: Ragnar Locker maakt doorgaans gebruik van blootgestelde services zoals Remote Desktop Protocol (RDP) om toegang te krijgen tot het systeem.
• Zwakke wachtwoorden: De aanvallers kunnen brute kracht gebruiken om zwakke wachtwoorden te raden of gestolen inloggegevens gebruiken om toegang te krijgen tot het systeem.
• Technieken voor verdedigingsontduiking: Ragnar Locker maakt gebruik van geavanceerde verdedigingstechnieken om antivirussoftware te omzeilen.

De Ragnar Locker-ransomware maakt gebruik van geavanceerde verdedigingstechnieken om antivirussoftware te omzeilen. De Ragnar Locker-ransomware werkt door een specifiek proces te volgen waarmee het bestanden kan coderen en losgeld van het slachtoffer kan eisen om de bestanden te herstellen. Hier is een overzicht van hoe de Ragnar Locker-ransomware werkt:

Het exploiteren van blootgestelde diensten

Ragnar Locker maakt doorgaans gebruik van blootgestelde services zoals Remote Desktop Protocol (RDP) om toegang te krijgen tot het systeem.

Toegang verkrijgen tot het systeem

Zodra de aanvallers toegang krijgen tot het systeem, proberen ze grotere rechten te verwerven en zich lateraal door het netwerk te verplaatsen.

Gevoelige bestanden stelen

De aanvallers exfiltreren gevoelige gegevens uit het beoogde systeem.

Het activeren van de encryptie-aanval

Nadat de aanvallers de gevoelige bestanden hebben gestolen, starten ze het versleutelingsproces, waardoor de bestanden van het slachtoffer worden versleuteld en ontoegankelijk worden gemaakt.

Het weergeven van de losgeldbrief

De aanvallers tonen een losgeldbriefje op het scherm van het slachtoffer, waarin de situatie wordt uitgelegd en instructies worden gegeven over hoe het losgeld moet worden betaald.

Dreigt de gestolen gegevens te lekken

Bij de dubbele afpersingstactiek dreigen de aanvallers de gestolen gegevens openbaar te maken als het slachtoffer weigert het losgeld te betalen.

Betaal het losgeld niet!Slachtoffers van Ragnar Locker-ransomwareaanvallen wordt geadviseerd het incident te melden aan de politie en de hulp in te roepen van een gerenommeerde cyberbeveiligingsprofessional.

Hoe om te gaan met een Ragnar Locker ransomware-aanval

Belangrijk:De eerste stap na het identificeren van Ragnar Locker IOC's is uw toevlucht nemen tot uw Incident Response Plan (IRP). Idealiter beschikt u over een Incident Response Retainer (IRR) met een vertrouwd team van professionals waarmee u 24/7/365 contact kunt opnemen, en zij kunnen onmiddellijk actie ondernemen om gegevensverlies te voorkomen, de losgeldbetaling te verminderen of te elimineren, en u te helpen bij eventuele wettelijke aansprakelijkheden. Voor zover wij weten met de informatie die we hebben op het moment dat dit artikel wordt gepubliceerd, is de eerste stap die een team van experts op het gebied van ransomwareherstel zou nemen het isoleren van de geïnfecteerde computer door deze los te koppelen van het internet en alle aangesloten apparaten te verwijderen.

Tegelijkertijd zal dit team u helpen contact op te nemen met de lokale autoriteiten van uw land. Voor inwoners en bedrijven van de VS is dit delokaal FBI-veldkantooren deKlachtencentrum Internetcriminaliteit (IC3). Om een ​​ransomware-aanval te melden, moet u alle mogelijke informatie hierover verzamelen, waaronder:

• Screenshots van de losgeldbrief
• Communicatie met de ransomware-actoren (als je die hebt)
• Een voorbeeld van een gecodeerd bestand

Als u echter geen IRP of IRR heeft, kunt u dat nog steeds doenneem contact op met professionals voor het verwijderen en herstellen van ransomware. Dit is de beste manier van handelen en vergroot de kansen op het succesvol verwijderen van de ransomware, het herstellen van de gegevens en het voorkomen van toekomstige aanvallen aanzienlijk. Wij raden u aanlaat elke geïnfecteerde machine zoals ze zijnen bel eennoodherstelservice voor ransomwareHet herstarten of afsluiten van het systeem kan het herstelproces in gevaar brengen. Het vastleggen van het RAM-geheugen van een live systeem kan helpen bij het verkrijgen van de coderingssleutel, en het vangen van een dropper-bestand kan reverse-engineered zijn en leiden tot de decodering van de gegevens of tot inzicht in hoe deze werkt.

Wat u NIET moet doen om te herstellen van een Ragnar Locker-ransomware-aanval

Je moetverwijder de ransomware nieten bewaar elk bewijs van de aanval. Dat is belangrijk voordigitaal forensisch onderzoekzodat experts de hackergroep kunnen herleiden en identificeren. Het is door de gegevens op uw geïnfecteerde systeem te gebruiken dat de autoriteiten dit kunnen doenonderzoek de aanval en vind de verantwoordelijke.Een cyberaanvalonderzoek verschilt niet van ieder ander strafrechtelijk onderzoek: er is bewijsmateriaal nodig om de aanvallers te kunnen opsporen.

1. Contact opnemen met uw Incident Response Provider

Een Cyber ​​Incident Response is het proces van reageren op en beheren van een cyberbeveiligingsincident. Een Incident Response Retainer is een serviceovereenkomst met een cybersecurityprovider waarmee organisaties externe hulp kunnen krijgen bij cybersecurity-incidenten. Het biedt organisaties een gestructureerde vorm van expertise en ondersteuning via een beveiligingspartner, waardoor ze snel en effectief kunnen reageren tijdens een cyberincident. Een incidentresponsretainer biedt organisaties gemoedsrust en biedt deskundige ondersteuning voor en in de nasleep van een cyberbeveiligingsincident. De specifieke aard en structuur van een incidentresponshouder zal variëren afhankelijk van de aanbieder en de vereisten van de organisatie. Een goede incidentresponshouder moet robuust maar flexibel zijn en bewezen diensten leveren om de beveiligingspositie van een organisatie op de lange termijn te verbeteren.Als u contact opneemt met uw IR-serviceprovider, zorgen zij voor de rest.Als u echter besluit de ransomware te verwijderen en de bestanden samen met uw IT-team te herstellen, kunt u de volgende stappen volgen.

2. Identificeer de ransomware-infectie

Dat kanidentificeren welke ransomwareheeft uw machine geïnfecteerd met de bestandsextensie (sommige ransomware gebruikt de bestandsextensie als naam), anders staat deze op de losgeldbrief. Met deze informatie kunt u zoeken naar een openbare decoderingssleutel. U kunt ook het type ransomware controleren aan de hand van de IOC's. Indicators of Compromise (IOC's) zijn digitale aanwijzingen die cyberbeveiligingsprofessionals gebruiken om systeemcompromissen en kwaadaardige activiteiten binnen een netwerk- of IT-omgeving te identificeren. Het zijn in wezen digitale versies van bewijsmateriaal dat op een plaats delict is achtergelaten, en potentiële IOC's omvatten ongewoon netwerkverkeer, geprivilegieerde gebruikersaanmeldingen uit het buitenland, vreemde DNS-verzoeken, wijzigingen in systeembestanden en meer. Wanneer een IOC wordt gedetecteerd, evalueren beveiligingsteams mogelijke bedreigingen of valideren ze de authenticiteit ervan. IOC's leveren ook bewijs van waartoe een aanvaller toegang had als hij het netwerk zou infiltreren.

3. Verwijder de ransomware en elimineer exploitkits

Voordat u uw gegevens herstelt, moet u garanderen dat uw apparaat vrij is van ransomware en dat de aanvallers geen nieuwe aanval kunnen uitvoeren via exploitkits of andere kwetsbaarheden. Een ransomware-verwijderingsservice kan de ransomware verwijderen, een forensisch document maken voor onderzoek, kwetsbaarheden elimineren en uw gegevens herstellen. Gebruik anti-malware/anti-ransomware-software om de schadelijke software in quarantaine te plaatsen en te verwijderen.

Belangrijk:Door contact op te nemen met de ransomware-verwijderingsdiensten kunt u ervoor zorgen dat uw machine en netwerk geen spoor meer hebben van de Ragnar Locker-ransomware. Deze services kunnen ook uw systeem patchen, waardoor nieuwe ransomware-aanvallen worden voorkomen.

4. Gebruik een back-up om de gegevens te herstellen

Back-ups zijn de meest efficiënte manier om gegevens te herstellen. Zorg ervoor dat u dagelijkse of wekelijkse back-ups maakt, afhankelijk van uw datagebruik.

5. Neem contact op met een ransomware-herstelservice

Als je geen back-up hebt of hulp nodig hebt bij het verwijderen van de ransomware en het elimineren van kwetsbaarheden, neem dan contact op met een gegevensherstelservice. Het betalen van het losgeld garandeert niet dat uw gegevens aan u worden geretourneerd. De enige gegarandeerde manier waarop u elk bestand kunt herstellen, is als u er een back-up van heeft. Als u dat niet doet, kunnen ransomware-gegevenshersteldiensten u helpen de bestanden te decoderen en te herstellen. De experts van SalvageData kunnen uw bestanden veilig herstellen en voorkomen dat de Ragnar Locker-ransomware uw netwerk opnieuw aanvalt. Neem 24/7 contact op met onze experts voor een noodherstelservice.

Voorkom een ​​ransomware-aanval

Het voorkomen van ransomware is de beste oplossing voor gegevensbeveiliging. is gemakkelijker en goedkoper dan ervan herstellen. De Ragnar Locker-ransomware kan de toekomst van uw bedrijf schaden en zelfs de deuren sluiten. Dit zijn een paar tips om ervoor te zorgen dat u dit kunt doenvermijd ransomware-aanvallen:

• Installeer antivirus- en antimalwaresoftware.
• Maak gebruik van betrouwbare cyberbeveiligingsoplossingen.
• Gebruik sterke en veilige wachtwoorden.
• Houd software en besturingssystemen up-to-date.
• Implementeer firewalls voor extra bescherming.
• Maak een dataherstelplan.
• Plan regelmatig back-ups om uw gegevens te beschermen.
• Wees voorzichtig met e-mailbijlagen en downloads van onbekende of verdachte bronnen.
• Controleer de veiligheid van advertenties voordat u erop klikt.
• Krijg alleen toegang tot websites van vertrouwde bronnen.