Cactus Ransomware: Komplett guide

Cactus ransomware er en nylig identifisert ransomware-stamme som har vært rettet mot store kommersielle organisasjoner. Den har fått oppmerksomhet for sin evne til å unngå antivirusdeteksjon og utnytte kjente sårbarheter i VPN-enheter for første nettverkstilgang. Den bruker også ulike teknikker for å infisere ofrenes systemer, inkludert bruk av verktøy som Chisel, Rclone, TotalExec, Scheduled Tasks og mer. SalvageData-eksperter anbefaler proaktive datasikkerhetstiltak, som regelmessige sikkerhetskopier, sterk cybersikkerhetspraksis og å holde programvare oppdatert, for å beskytte mot løsepengevareangrep. Og,i tilfelle et løsepenge-angrep, kontakt våreksperter på gjenoppretting av løsepengerøyeblikkelig.

Hva slags skadelig programvare er Cactus?

Cactus er en type skadelig programvare som har blitt identifisert som en stamme av løsepengevare. Den krypterer offerets data og krever løsepenger for dekryptering. Cactus-nettkriminelle gruppen bak løsepengevaren sikter mot VPN-enheter som et middel for førstegangstilgang og installerer en bakdør for utholdenhet. Skadevaren har blitt karakterisert som vanskelig og vanskelig på grunn av misbruk av eksterne administrasjonsverktøy. Når den er inne i et nettverk, bruker den ulike teknikker og verktøy for å infisere ofre og kryptere filene deres. Løsepengevaren legger til ".CTS1"-utvidelsen til krypterte filnavn og legger igjen en løsepengenotat kalt "cAcTuS.readme.txt" med instruksjoner om hvordan løsepengebetalingen utføres.

Alt vi vet om Cactus Ransomware

Bekreftet navn

• Kaktusvirus

Type trussel

• Ransomware
• Kryptovirus
• Oppbevaringsboks for filer
• Dobbel utpressing

Utvidelse for krypterte filerDet kan ha variasjoner avhengig av krypteringsmetoden

• .CTS1
• .CTS6

Løsepenger krevende melding

• cAcTuS.readme.txt

Er det en gratis dekryptering tilgjengelig?Nei, det er ingen offentlig dekryptering for Cactus løsepengeprogramvare.Deteksjonsnavn

• AvastWin64:Trojan-gen
• EmsisoftGenerisk.Ransom.Cactus.A.6A6CBCEA (B)
• KasperskyTrojan-Ransom.Win32.Cactus.d
• SophosMal/Generisk-S
• MicrosoftLøsepenger:Win32/Cactus.LKV!MTB

Distribusjonsmetoder

• Sårbarheter i VPN-enheter
• Infiserte e-postvedlegg
• Torrent nettsteder
• Ondsinnede annonser

Konsekvenser

• Filer er kryptert og låst frem til løsepenger
• Datalekkasje
• Dobbel utpressing

Hva står i Cactus løsepenger notat

Cactus løsepenger, kalt "cAcTuS.readme.txt," inneholder detaljer om hvordan offeret kan forhandle med angriperne over TOX chat, en kryptert meldingsplattform. Notatet gir vanligvis instruksjoner og krav om løsepenger i bytte mot dekrypteringsnøkkelen for å gjenopprette de krypterte filene.

Hvis du innser at du er et ransomware-offer, kan du kontakte SalvageData eksperter på fjerning av løsepengevare for å gi deg en sikker datagjenopprettingstjeneste og fjerning av løsepengevare etter et angrep.

Hvordan infiserer Cactus løsepengevare et system

Cactus ransomware er kjent for å utnytte sårbarheter i VPN-enheter som et første tilgangspunkt til nettverk. Ved å utnytte disse sårbarhetene, får Cactus innpass i målsystemet. Når den først er inne, bruker den ulike teknikker for å infisere maskinen og kryptere filer. Løsepengevaren går gjennom de vanlige trinnene med å spre seg gjennom nettverket, stjele data og kryptere filer underveis. Den bruker unike krypteringsteknikker for å unngå oppdagelse av antivirusprogramvare, noe som gjør det spesielt utfordrende å bekjempe.

Sårbarheter i VPN-enheter

VPN-enheter (Virtual Private Network) brukes til å etablere sikre forbindelser mellom eksterne brukere og nettverk. Imidlertid kan sårbarheter i disse enhetene utnyttes av trusselaktører for å få uautorisert tilgang til systemer. Disse sårbarhetene kan omfatte programvarefeil, feilkonfigurasjoner eller svake krypteringsprotokoller. Når angripere utnytter disse sårbarhetene, kan de omgå sikkerhetstiltak og få tilgang til nettverket, potensielt kompromittere sensitive data eller starte ytterligere angrep.

Infiserte e-postvedlegg

Angripere sender vanligvis e-post med ondsinnede vedlegg, for eksempel Word-dokumenter, PDF-er eller ZIP-filer. Disse vedleggene kan inneholde skjulte makroer eller kjørbare filer som, når de åpnes, installerer skadelig programvare på offerets maskin. Sosialtekniske teknikker brukes ofte for å lure brukere til å åpne vedlegg, for eksempel å skjule e-poster som fakturaer, jobbtilbud eller hastemeldinger.

Torrent nettsteder

Torrent-nettsteder brukes til å dele filer gjennom peer-to-peer-nettverk. Disse nettstedene kan imidlertid også være en grobunn for distribusjon av skadelig programvare. Nettkriminelle kan laste opp infiserte filer forkledd som populære filmer, programvare eller spill for å lokke brukere til å laste dem ned. Når de er lastet ned og utført, kan disse filene installere skadelig programvare, inkludert løsepengevare eller trojanere, på offerets system.

Ondsinnede annonser

Ondsinnede s, ofte referert til som malvertising, er nettannonser som inneholder ondsinnet kode. Disse annonsene kan vises på legitime nettsteder, inkludert nyhetssider eller sosiale medieplattformer. Når brukere klikker på disse annonsene eller til og med besøker nettsider som er vert for dem, kan den ondsinnede koden utnytte sårbarheter i nettlesere eller plugins for å levere skadelig programvare til brukerens enhet. Ondsinnede annonser kan føre til ulike typer infeksjoner, alt fra adware og spyware til løsepenge- og banktrojanere.

Hvordan fungerer Cactus løsepengevare

Cactus ransomware bruker ulike teknikker for å infisere systemer og kryptere filer. Her er en oversikt over hvordan Cactus ransomware fungerer, fra infeksjon til kryptering:

1. Innledende tilgang

Cactus løsepengevare utnytter kjente sårbarheter i VPN-enheter (Virtual Private Network) for å få uautorisert tilgang til nettverk. Gjennom disse sårbarhetene finner løsepengevaren veien inn i målsystemet.

2. Utnyttelse

En gang inne i nettverket, sprer Cactus løsepengevare sideveis, og beveger seg fra en enhet til en annen. Den utnytter svakheter i nettverkssikkerhet, svake passord eller uoppdatert programvare for å få kontroll over flere maskiner.

3. Utførelse

Cactus bruker verktøy som Chisel, Rclone, TotalExec og Scheduled Tasks for å utføre sine ondsinnede aktiviteter. Disse verktøyene hjelper løsepengevaren med å etablere persistens på infiserte systemer og sikre at den kan fortsette driften selv etter en omstart av systemet.

Foreslått å lese:CloAk Ransomware: Komplett guide

4. Datatyveri

Før kryptering av filer, eksfiltrerer Cactus løsepengevare sensitive data fra de kompromitterte systemene. Disse stjålne dataene brukes som innflytelse for ytterligere å presse ofre eller selge dem på underjordiske fora.

5. Kryptering

Cactus ransomware bruker unike krypteringsteknikker for å kryptere offerets filer. Eksperter oppdaget ikke den spesifikke krypteringsalgoritmen og metoden som ble brukt av Cactus da denne artikkelen ble publisert. Det er imidlertid viktig å merke seg at Cactus løsepengeprogramvare krypterer seg selv, noe som gjør det vanskeligere å oppdage med antivirus- og nettverksovervåkingsverktøy. Ved å kryptere sin egen kode, forbedrer Cactus løsepengevare sin evne til å unngå oppdagelse.

6. Løsepengenotat

Etter at krypteringsprosessen er fullført, etterlater Cactus løsepengevare en løsepengenota, kalt "cAcTuS.readme.txt." Notatet inneholder instruksjoner om hvordan ofre kan forhandle med angriperne for å få tak i dekrypteringsnøkkelen.

Ikke betal løsepenger!Å kontakte en tjeneste for fjerning av løsepenger kan ikke bare gjenopprette filene dine, men også fjerne enhver potensiell trussel.

Hvordan håndtere et Cactus-ransomware-angrep

Det første trinnet for å komme seg etter et Cactus-angrep er å isolere den infiserte datamaskinen ved å koble fra Internett og fjerne eventuelle tilkoblede enheter. Deretter må du kontakte lokale myndigheter. Når det gjelder innbyggere i USA og bedrifter, er detlokale FBI feltkontorog denInternet Crime Complaint Center (IC3).For å rapportere et løsepenge-angrep må du samle all informasjon du kan om det, inkludert:

• Skjermbilder av løsepengene
• Kommunikasjon med trusselaktører (hvis du har dem)
• Et eksempel på en kryptert fil

Men hvis du foretrekker detkontakte fagfolk, så gjør ingenting.La hver infiserte maskin være slik den erog be om ennødtjeneste for fjerning av løsepengevare. Omstart eller avslutning av systemet kan kompromittere gjenopprettingstjenesten. Å fange RAM-en til et live-system kan hjelpe til med å få krypteringsnøkkelen, og å fange en dropper-fil, dvs. fil som utfører den ondsinnede nyttelasten, kan bli omvendt og føre til dekryptering av dataene eller forståelse av hvordan den fungerer. Du måikke slette løsepengevaren, og ta vare på alle bevis på angrepet. Det er viktig fordigital etterforskningslik at eksperter kan spore tilbake til hackergruppen og identifisere dem. Det er ved å bruke dataene på det infiserte systemet myndighetene kanundersøke angrepet og finne den ansvarlige.En etterforskning av cyberangrep er ikke forskjellig fra enhver annen kriminell etterforskning: den trenger bevis for å finne angriperne.

1. Kontakt din Incident Response-leverandør

En Cyber ​​Incident Response er prosessen med å reagere på og håndtere en cybersikkerhetshendelse. An Incident Response Retainer er en tjenesteavtale med en leverandør av cybersikkerhet som lar organisasjoner få ekstern hjelp med cybersikkerhetshendelser. Det gir organisasjoner en strukturert form for ekspertise og støtte gjennom en sikkerhetspartner, som gjør dem i stand til å reagere raskt og effektivt under en cyberhendelse. En hendelsesretainer gir trygghet til organisasjoner, og tilbyr ekspertstøtte før og i etterkant av en cybersikkerhetshendelse. En hendelsesberedskaps spesifikke natur og struktur vil variere i henhold til leverandøren og organisasjonens krav. En god hendelsesreaksjonsholder bør være robust, men fleksibel, og tilby velprøvde tjenester for å forbedre en organisasjons langsiktige sikkerhetsstilling.

Hvis du kontakter IR-tjenesteleverandøren din, kan de ta over umiddelbart og veilede deg gjennom hvert trinn i gjenopprettingen av løsepengevare.Men hvis du bestemmer deg for å fjerne løsepengevaren selv og gjenopprette filene med IT-teamet ditt, kan du følge de neste trinnene.

2. Identifiser løsepengevareinfeksjonen

Du kan identifisere hvilken ransomware som infiserte maskinen din ved filtypen (noen ransomware bruker filtypen som navn),ved hjelp av et løsepenge-ID-verktøy, eller det vil stå på løsepengene. Med denne informasjonen kan du se etter en offentlig dekrypteringsnøkkel. Du kan også sjekke løsepengevaretypen etter IOC-ene. Indicators of Compromise (IOCs) er digitale ledetråder som cybersikkerhetseksperter bruker for å identifisere systemkompromisser og ondsinnede aktiviteter i et nettverk eller IT-miljø. De er i hovedsak digitale versjoner av bevis som er igjen på et åsted, og potensielle IOC-er inkluderer uvanlig nettverkstrafikk, privilegerte brukerpålogginger fra fremmede land, merkelige DNS-forespørsler, systemfilendringer og mer. Når en IOC oppdages, evaluerer sikkerhetsteam mulige trusler eller validerer dens autentisitet. IOC-er gir også bevis på hva en angriper hadde tilgang til hvis de infiltrerte nettverket.

3. Fjern løsepengevare og eliminer utnyttelsessett

Før du gjenoppretter dataene dine, må du garantere at enheten din er fri for løsepengevare og at angriperne ikke kan gjøre et nytt angrep gjennom utnyttelsessett eller andre sårbarheter. En tjeneste for fjerning av løsepengevare kan slette løsepengevaren, opprette et rettsmedisinsk dokument for etterforskning, eliminere sårbarheter og gjenopprette dataene dine.

4. Bruk en sikkerhetskopi for å gjenopprette dataene

Sikkerhetskopier er den mest effektive måten å gjenopprette data på. Sørg for å ta daglige eller ukentlige sikkerhetskopier, avhengig av databruken din.

5. Kontakt en tjeneste for gjenoppretting av løsepenger

Hvis du ikke har en sikkerhetskopi eller trenger hjelp til å fjerne løsepengevaren og eliminere sårbarheter, kontakt en datagjenopprettingstjeneste. Å betale løsepengene garanterer ikke at dataene dine blir returnert til deg. Den eneste garanterte måten du kan gjenopprette hver fil er hvis du har en sikkerhetskopi av den. Hvis du ikke gjør det, kan ransomware-datagjenopprettingstjenester hjelpe deg med å dekryptere og gjenopprette filene. SalvageData-eksperter kan trygt gjenopprette filene dine og forhindre Cactus ransomware fra å angripe nettverket ditt igjen. Kontakt ekspertene våre 24/7 for gjenopprettingstjenester for løsepengevare.

Forhindre Cactus-ransomware-angrepet

Å forhindre løsepengevare er den beste løsningen for datasikkerhet. er enklere og billigere enn å komme seg fra dem. Cactus løsepengevare kan koste bedriftens fremtid og til og med lukke dørene. Dette er noen tips for å sikre at du kanunngå ransomware-angrep:

• Antivirus og anti-malware
• Bruk cybersikkerhetsløsninger
• Bruk sterke passord
• Oppdatert programvare
• Oppdatert operativsystem (OS)
• Brannmurer
• Ha en gjenopprettingsplan i hånden (se hvordan du lager en datagjenopprettingsplan med vår dybdeveiledning)
• Planlegg regelmessige sikkerhetskopier
• Ikke åpne et e-postvedlegg fra en ukjent kilde
• Ikke last ned filer fra mistenkelige nettsteder
• Ikke klikk på annonser med mindre du er sikker på at det er trygt
• Få kun tilgang til nettsteder fra pålitelige kilder