Mallox Ransomware: jak usunąć i zapobiegać

Ransomware Mallox atakuje systemy Microsoft Windows i wykorzystuje słabe serwery MS-SQL do włamywania się do sieci. Jest aktywny od czerwca 2021 r. Szyfruje pliki i dodaje nowe rozszerzenie („.mallox”, „.malox” lub „.maloxx”) do ich nazw plików oraz tworzy notatkę z żądaniem okupu o nazwie RECOVERY INFORMATION.txt w celu żądania zapłaty za odszyfrowanie. Ransomware Mallox jest znane ze swojej zdolności do szybkiego rozprzestrzeniania się poprzez udostępnianie plików. Stosuje taktykę podwójnego wymuszenia, co oznacza, że ​​kradnie dane ofiar przed ich zaszyfrowaniem. Eksperci SalvageData zalecają proaktywne środki bezpieczeństwa danych, takie jak regularne kopie zapasowe, rygorystyczne praktyki cyberbezpieczeństwa i aktualizowanie oprogramowania, aby chronić przed atakami ransomware. I,w przypadku ataku ransomware skontaktuj się z naszymeksperci w zakresie odzyskiwania oprogramowania ransomwarenatychmiast.

Jakim rodzajem złośliwego oprogramowania jest Mallox?

Mallox to rodzaj złośliwego oprogramowania, znanego jako oprogramowanie ransomware, które szyfruje dane ofiar, a następnie żąda okupu, zwykle płatnego w kryptowalutach, w zamian za narzędzie odszyfrowujące. To oprogramowanie ransomware jest bardziej destrukcyjne niż większość innych odmian oprogramowania ransomware. Mallox dodaje warstwę powłoki C, korzystając z popularnej technologii przechwytywania bibliotek DLL, aby ominąć oprogramowanie zabezpieczające i może szyfrować wiele plików w bardzo krótkim czasie, powodując nieodwracalne straty po zainstalowaniu na komputerach firmy. Rozprzestrzenia się jak robak poprzez udostępnianie plików i wykorzystuje tę samą technologię wyszukiwania plików, co Search Artifact, aby zapewnić szybkie wyszukiwanie i szyfrowanie plików. Zaobserwowano, że oprogramowanie ransomware Mallox wykorzystuje co najmniej dwie luki w zabezpieczeniach SQL umożliwiające zdalne wykonanie kodu, a mianowicie CVE-2020-0618 i CVE-2019-1068.

Wszystko, co wiemy o Mallox Ransomware

Potwierdzona nazwa

• Wirus Mallox

Typ zagrożenia

• Oprogramowanie ransomware
• Kryptowirus
• Szafka na pliki
• Podwójne wymuszenie

Rozszerzenie zaszyfrowanych plików

• .malloks
• .malox
• .maloxx

Wiadomość z żądaniem okupu

• INFORMACJE O ODZYSKANIU.txt
• ODZYSKIWANIE PLIKU.txt

Nazwy wykrywania

• AvastaWin32:RATX-gen [Trj]
• ŚREDNIAWin32:RATX-gen [Trj]
• EmsisoftGen:Variant.MSILHeracles.48322 (B)
• MalwarebytesGeneric.Crypt.Trojan.DDS
• KasperskyHEUR:Trojan-Downloader.MSIL.Seraph.gen
• SofosMal/Generic-S
• MicrosoftuTrojan:MSIL/AgentTesla.KA!MTB

Metody dystrybucji

• E-maile phishingowe
• Luki w SQL
• Udostępnianie plików

Konsekwencje

Dowiedz się więcej:NoBit Ransomware: jak usunąć i zapobiegać

• Pliki są szyfrowane i blokowane do czasu zapłaty okupu
• Wyciek danych
• Podwójne wymuszenie

Czy dostępny jest darmowy deszyfrator?

NIE.Obecnie nie jest dostępny żaden publiczny program deszyfrujący oprogramowanie ransomware Mallox.

Jakie są IOC ransomware Mallox?

Wskaźniki zagrożenia (IOC) to artefakty obserwowane w sieci lub systemie operacyjnym, które z dużą pewnością wskazują na włamanie do komputera. IOC można wykorzystać do wczesnego wykrywania przyszłych prób ataków za pomocą systemów wykrywania włamań i oprogramowania antywirusowego. Są to zasadniczo cyfrowe wersje dowodów pozostawionych na miejscu przestępstwa, a potencjalne IOC obejmują nietypowy ruch sieciowy, loginy uprzywilejowanych użytkowników z zagranicy, dziwne żądania DNS, zmiany plików systemowych i nie tylko. Po wykryciu IOC zespoły ds. bezpieczeństwa oceniają możliwe zagrożenia lub weryfikują jego autentyczność. IOC dostarczają również dowodów na to, do czego osoba atakująca miała dostęp, jeśli rzeczywiście przeniknęła do sieci. Wskaźniki zagrożenia ransomware Mallox obejmują:

• Rozszerzenie pliku.Ransomware Mallox można rozpoznać po zaszyfrowanych plikach z przyrostkiem „.mallox”.
• Notatka o okupie.Ransomware Mallox tworzy notatkę z żądaniem okupu (np. plik „RECOVERY INFORMATION.TXT”) w celu żądania zapłaty za odszyfrowanie. W notatce instruuje się ofiary, aby wysłały wiadomość e-mail na podane adresy e-mail.
• Warstwa powłoki C.Ransomware Mallox dodaje warstwę powłoki C, wykorzystując popularną technologię przechwytywania bibliotek DLL w celu ominięcia oprogramowania zabezpieczającego.

Skróty plików ransomware Mallox

Pliki skrótów oprogramowania ransomware to unikalne identyfikatory reprezentujące konkretny plik lub zestaw plików zaszyfrowanych przez oprogramowanie ransomware. Te skróty można wykorzystać do identyfikowania i śledzenia ataków oprogramowania ransomware oraz do opracowywania sygnatur oprogramowania antywirusowego w celu wykrywania i blokowania infekcji oprogramowaniem ransomware.

• SHA256: 7c1e8a2c1d3b4c4c9a5c6f6c9a7d5c5d4d7d5d5c7c4d5d5c7c4d5d5c7c4d5d5

Nazwa pliku: AdvancedRun.exe Opis: Ransomware Mallox instaluje i uruchamia AdvancedRun.exe w katalogu tymczasowym.

• SHA256: 3f5f3d5c8d7d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7c4d5d5c7

Nazwa pliku: INFORMACJE O ODZYSKANIU.TXTOpis: To jest żądanie okupu upuszczone przez ransomware Mallox w każdym katalogu na dysku ofiary.

Co znajduje się w nocie okupu Mallox

Ransomware Mallox umieszcza żądanie okupu w każdym katalogu na dysku ofiary. Notatka z żądaniem okupu wyjaśnia infekcję i zawiera dane kontaktowe atakujących. Notatka instruuje ofiary, aby wysłały podany identyfikator (identyfikator osobisty) na adres e-mail grupy hakerów. Po wykonaniu tej czynności ofiary otrzymają list z ceną odzyskania danych. Notatka z żądaniem okupu zawiera również instrukcje dotyczące sposobu zapłaty okupu w celu odszyfrowania zainfekowanych danych. Należy pamiętać, że zapłacenie okupu nie gwarantuje, że osoby atakujące dostarczą klucz deszyfrujący i może skutkować dalszymi atakami.

Próbka żądania okupu Mallox

Jeśli zorientujesz się, że jesteś ofiarą oprogramowania ransomware, skontaktuj się z ekspertami ds. usuwania oprogramowania ransomware SalvageData, aby uzyskać bezpieczną usługę odzyskiwania danych i usunięcia oprogramowania ransomware po ataku.

W jaki sposób rozprzestrzenia się ransomware Mallox

Ransomware Mallox to bardzo aktywny, rozproszony wirus komputerowy, którego celem są głównie niechronione serwery MS-SQL, ale może również infekować komputery poprzez złośliwe załączniki do wiadomości e-mail. Oto kilka typowych metod dystrybucji ransomware Mallox:

• Udostępnianie plików.Ransomware Mallox rozprzestrzenia się niczym robak poprzez udostępnianie plików i wykorzystuje tę samą technologię odzyskiwania plików, co Search Artifact, aby zapewnić szybkie wyszukiwanie i szyfrowanie plików. Potrafi zaszyfrować wiele plików w bardzo krótkim czasie, powodując nieodwracalne straty po zainstalowaniu na komputerach firmy.
• E-maile phishingowe.Raporty pokazują, że ransomware Mallox jest powszechnie dystrybuowany za pośrednictwem załączników do wiadomości e-mail typu phishing. Użytkownicy mogą nieświadomie pobrać i zainstalować oprogramowanie ransomware, otwierając złośliwe załączniki lub klikając łącza w wiadomościach phishingowych.

• Wykorzystywanie luk w zabezpieczeniach.Ransomware Mallox wykorzystuje luki w oprogramowaniu, takie jak luki w zabezpieczeniach umożliwiające zdalne wykonanie kodu w SQL, w celu uzyskania nieautoryzowanego dostępu do serwerów i rozprzestrzeniania się w sieci.

W jaki sposób oprogramowanie ransomware Mallox infekuje komputer lub sieć

Zgodnie z analizą techniczną oprogramowania ransomware Mallox, przed zaszyfrowaniem plików, informacje systemowe usuwające oprogramowanie ransomware, takie jak wersja systemu operacyjnego, nazwa pulpitu itp., wysyłają je do serwera dowodzenia i kontroli (C&C) za pomocą żądania POST. Grupa ransomware utrzymuje witrynę zawierającą informacje dotyczące ofiar ataków ransomware. Ransomware, które szyfruje pliki, dodaje rozszerzenie „.Mallox” jako rozszerzenie pliku i oznacza ich oryginalne nazwy rozszerzeniem „.mallox”. Ransomware Mallox szyfruje pliki przy użyciu zaawansowanego algorytmu szyfrowania, który czyni je niedostępnymi dla użytkownika. Po zakończeniu procesu szyfrowania ransomware Mallox tworzy notatkę z żądaniem okupu (plik „RECOVERY INFORMATION.txt”) w celu zażądania zapłaty za odszyfrowanie. Notatka z żądaniem okupu zawiera również instrukcje dotyczące zapłacenia okupu w celu odszyfrowania zainfekowanych danych.Nie płać okupu!Kontakt z firmą zajmującą się usuwaniem oprogramowania ransomware może nie tylko przywrócić pliki, ale także usunąć wszelkie potencjalne zagrożenia.

Jak poradzić sobie z atakiem ransomware Mallox

Ważny:Pierwszym krokiem po zidentyfikowaniu IOC firmy Mallox jest skorzystanie z planu reagowania na incydenty (IRP). Idealnym rozwiązaniem byłoby posiadanie osoby odpowiedzialnej za reagowanie na incydenty (IRR) z zaufanym zespołem profesjonalistów, z którym można się skontaktować 24 godziny na dobę, 7 dni w tygodniu przez 365 dni w tygodniu, a która może podjąć natychmiastowe działania, które zapobiegną utracie danych, zmniejszą lub wyeliminują płatność okupu oraz pomogą w rozwiązaniu wszelkich zobowiązań prawnych. Zgodnie z naszą najlepszą wiedzą i informacjami, które posiadaliśmy w momencie publikacji tego artykułu, pierwszym krokiem, jaki wykona zespół ekspertów ds. odzyskiwania oprogramowania ransomware, będzie odizolowanie zainfekowanego komputera poprzez odłączenie go od Internetu i usunięcie dowolne podłączone urządzenie. Jednocześnie zespół ten pomoże Ci skontaktować się z władzami lokalnymi w Twoim kraju. Dla mieszkańców i firm w USA jest tolokalne biuro terenowe FBIiCentrum składania skarg dotyczących przestępstw internetowych (IC3). Aby zgłosić atak ransomware, musisz zebrać na jego temat wszelkie możliwe informacje, w tym:

• Zrzuty ekranu z żądaniem okupu
• Komunikacja z aktorami Mallox (jeśli ich masz)
• Próbka zaszyfrowanego pliku

Jeśli jednak nie masz IRP ani IRR, nadal możeszskontaktuj się ze specjalistami od usuwania i odzyskiwania oprogramowania ransomware. Jest to najlepszy sposób działania, który znacznie zwiększa szanse na pomyślne usunięcie oprogramowania ransomware, przywrócenie danych i zapobiegnięcie przyszłym atakom. Zalecamy topozostaw każdą zainfekowaną maszynę bez zmiani zadzwońusługa awaryjnego odzyskiwania oprogramowania ransomwarePonowne uruchomienie lub zamknięcie systemu może zagrozić procesowi odzyskiwania. Przechwycenie pamięci RAM działającego systemu może pomóc w zdobyciu klucza szyfrowania, a przechwycenie pliku droppera może zostać poddane inżynierii wstecznej i doprowadzić do odszyfrowania danych lub zrozumienia ich działania.

Czego NIE robić, aby odzyskać siły po ataku ransomware Mallox

Musisznie usuwaj oprogramowania ransomwarei zatrzymaj wszelkie dowody ataku. To ważne dlakryminalistyka cyfrowaaby eksperci mogli odnaleźć grupę hakerów i ją zidentyfikować. Władze mogą to zrobić wykorzystując dane znajdujące się w zainfekowanym systemiezbadaj atak i znajdź sprawcę.Dochodzenie w sprawie ataku cybernetycznego nie różni się od innych dochodzeń karnych: potrzebne są dowody, aby znaleźć napastników.

1. Skontaktuj się z dostawcą usług reagowania na incydenty

Reakcja na incydent cybernetyczny to proces reagowania na incydent cybernetyczny i zarządzania nim. Reagowanie na incydenty to umowa o świadczenie usług z dostawcą cyberbezpieczeństwa, która umożliwia organizacjom uzyskanie pomocy zewnętrznej w przypadku incydentów związanych z cyberbezpieczeństwem. Zapewnia organizacjom ustrukturyzowaną formę wiedzy specjalistycznej i wsparcia za pośrednictwem partnera ds. bezpieczeństwa, umożliwiając im szybką i skuteczną reakcję podczas incydentu cybernetycznego. Osoba zajmująca się reagowaniem na incydenty zapewnia organizacjom spokój ducha, oferując wsparcie eksperckie przed i po incydencie cybernetycznym. Specyficzny charakter i struktura osoby odpowiedzialnej za reagowanie na incydenty będą się różnić w zależności od dostawcy i wymagań organizacji. Dobra osoba zajmująca się reagowaniem na incydenty powinna być solidna, ale elastyczna i zapewniać sprawdzone usługi poprawiające długoterminowy poziom bezpieczeństwa organizacji.

Jeśli skontaktujesz się ze swoim dostawcą usług IR, on zajmie się całą resztą.Jeśli jednak zdecydujesz się usunąć oprogramowanie ransomware i odzyskać pliki wraz ze swoim zespołem IT, możesz wykonać kolejne kroki.

2. Zidentyfikuj infekcję ransomware

Możeszokreślić, które oprogramowanie ransomwarezainfekował twoją maszynę poprzez rozszerzenie pliku (niektóre ransomware używają rozszerzenia pliku jako nazwy), w przeciwnym razie będzie to widoczne w żądaniu okupu. Dzięki tym informacjom możesz poszukać publicznego klucza deszyfrującego. Możesz także sprawdzić typ ransomware według jego IOC. Wskaźniki zagrożenia (IOC) to cyfrowe wskazówki, których używają specjaliści ds. cyberbezpieczeństwa do identyfikowania zagrożeń systemowych i złośliwych działań w sieci lub środowisku informatycznym. Są to zasadniczo cyfrowe wersje dowodów pozostawionych na miejscu zbrodni, a potencjalne IOC obejmują nietypowy ruch w sieci, loginy uprzywilejowanych użytkowników z zagranicy, dziwne żądania DNS, zmiany w plikach systemowych i nie tylko. Po wykryciu IOC zespoły ds. bezpieczeństwa oceniają możliwe zagrożenia lub weryfikują jego autentyczność. IOC dostarczają również dowodów na to, do czego osoba atakująca miała dostęp, jeśli rzeczywiście przeniknęła do sieci.

3. Usuń oprogramowanie ransomware i zestawy exploitów

Przed odzyskaniem danych musisz upewnić się, że Twoje urządzenie jest wolne od oprogramowania ransomware i że osoby atakujące nie będą mogły przeprowadzić nowego ataku przy użyciu zestawów exploitów lub innych luk w zabezpieczeniach. Usługa usuwania oprogramowania ransomware może usunąć oprogramowanie ransomware, utworzyć dokument kryminalistyczny do celów dochodzenia, wyeliminować luki w zabezpieczeniach i odzyskać dane. Użyj oprogramowania chroniącego przed złośliwym oprogramowaniem/anty-ransomware, aby poddać kwarantannie i usunąć złośliwe oprogramowanie.

Ważny:Kontaktując się z usługami usuwania ransomware, możesz mieć pewność, że na Twoim komputerze i w sieci nie ma śladów ransomware Mallox. Usługi te mogą również załatać Twój system, zapobiegając nowym atakom.

4. Użyj kopii zapasowej, aby przywrócić dane

Kopie zapasowe to najskuteczniejszy sposób odzyskiwania danych. Pamiętaj o codziennym lub cotygodniowym tworzeniu kopii zapasowych, w zależności od wykorzystania danych.

5. Skontaktuj się z usługą odzyskiwania oprogramowania ransomware

Jeśli nie masz kopii zapasowej lub potrzebujesz pomocy w usunięciu oprogramowania ransomware i wyeliminowaniu luk, skontaktuj się z firmą zajmującą się odzyskiwaniem danych. Zapłata okupu nie gwarantuje, że Twoje dane zostaną zwrócone. Jedynym gwarantowanym sposobem na przywrócenie każdego pliku jest utworzenie jego kopii zapasowej. Jeśli tego nie zrobisz, usługi odzyskiwania danych ransomware mogą pomóc w odszyfrowaniu i odzyskaniu plików. Eksperci SalvageData mogą bezpiecznie przywrócić Twoje pliki i zapobiec ponownemu atakowi oprogramowania ransomware Mallox na Twoją sieć. Skontaktuj się z naszymi ekspertami 24 godziny na dobę, 7 dni w tygodniu, aby uzyskać usługę odzyskiwania awaryjnego.

Jak zapobiec atakowi oprogramowania ransomware Mallox

Zapobieganie oprogramowaniu ransomware to najlepsze rozwiązanie zapewniające bezpieczeństwo danych, ponieważ jest łatwiejsze i tańsze niż proces odzyskiwania. Oprogramowanie ransomware Mallox może kosztować przyszłość Twojej firmy, a nawet zamknąć jej drzwi. Oto kilka wskazówek, dzięki którym możeszunikaj ataków ransomware:

• Zainstaluj oprogramowanie antywirusowe i chroniące przed złośliwym oprogramowaniem.
• Stosuj niezawodne rozwiązania w zakresie cyberbezpieczeństwa.
• Używaj silnych i bezpiecznych haseł.
• Aktualizuj oprogramowanie i systemy operacyjne.
• Wdrażaj zapory ogniowe dla dodatkowej ochrony.
• Utwórz plan odzyskiwania danych.
• Regularnie planuj tworzenie kopii zapasowych, aby chronić swoje dane.
• Zachowaj ostrożność w przypadku załączników do wiadomości e-mail i plików pobieranych z nieznanych lub podejrzanych źródeł.
• Przed kliknięciem na reklamy sprawdź bezpieczeństwo reklam.
• Korzystaj ze stron internetowych tylko z zaufanych źródeł.