Grupo Daixin Ransomware: Guia Completo

A Equipe Daixin é um grupo de ransomware que emergiu como uma ameaça formidável, visando principalmente o setor de saúde e causando interrupções significativas desde junho de 2022. Notavelmente perigoso, seu método envolve a implantação de ransomware para criptografar servidores essenciais que hospedam informações confidenciais, como informações de saúde de pacientes (PHI). Os invasores exploram o volume de informações confidenciais, o uso extensivo de dispositivos conectados e as possíveis interrupções em tratamentos cruciais como alavanca para pedidos de resgate. O atendimento ao paciente é diretamente impactado, tornando o setor de saúde um alvo atraente e lucrativo. As motivações do grupo vão além da disrupção, com as informações de saúde do paciente alcançando preços elevados na dark web, proporcionando à equipe Daixin um fluxo de receita adicional.

Os especialistas da SalvageData recomendam medidas proativas de segurança de dados, como backups regulares, práticas fortes de segurança cibernética e manutenção do software atualizado, para proteção contra ataques de ransomware. E,em caso de ataque de ransomware, entre em contato imediatamente com nossos especialistas em recuperação de ransomware.

Tudo o que sabemos sobre o Daixin Ransomware

Nome confirmado

• Vírus Daixin

Tipo de ameaça

Leitura sugerida:Sudão Anônimo: Guia Completo para o Grupo Hacker

• Ransomware
• vírus criptográfico
• Armário de arquivos
• Dupla extorsão

Existe um descriptografador gratuito disponível?Não, não existe um descriptografador público para o ransomware Daixin.Métodos de distribuição

• E-mails de phishing
• Explorando vulnerabilidades
• Senhas fracas ou padrão no Remote Desktop Protocol (RDP)

Consequências

• Os arquivos são criptografados e bloqueados até o pagamento do resgate
• Vazamento de dados
• Dupla extorsão

O que são IOCs de ransomware Daixin

Indicadores de comprometimento (IOCs) são pistas digitais que os profissionais de segurança cibernética usam para identificar comprometimentos de sistema e atividades maliciosas em uma rede ou ambiente de TI. Quando um IOC é detectado, as equipes de segurança avaliam possíveis ameaças ou validam sua autenticidade. Os IOCs também fornecem evidências do que um invasor teria acesso caso se infiltrasse na rede. Eles são essencialmente versões digitais de evidências deixadas na cena do crime, e os IOCs potenciais incluem tráfego de rede incomum, logins de usuários privilegiados de países estrangeiros, solicitações estranhas de DNS, alterações em arquivos do sistema e muito mais.

Nota de resgate Daixin

Na nota de resgate, a equipe Daixin ameaça as vítimas a publicar os dados roubados dentro de 5 dias, a menos que paguem o pedido de resgate. Eles também fornecem à vítima um PIN pessoal para ser usado para entrar em contato com os autores da ameaça.

Se você perceber que é uma vítima de ransomware, entrar em contato com os especialistas em remoção de ransomware da SalvageData fornecerá um serviço seguro de recuperação de dados e remoção de ransomware após um ataque.

Como funciona o ransomware Daixin

O modus operandi da equipe Daixin envolve um processo de várias etapas, começando com a exploração de um servidor de rede privada virtual (VPN) por vários meios, incluindo e-mails de phishing e exploração de vulnerabilidades na infraestrutura VPN do alvo. Uma vez lá dentro, o grupo utiliza Secure Shell (SSH) e Remote Desktop Protocol (RDP) com software baseado no código-fonte do Babuk Locker, permitindo movimentação lateral dentro do sistema. Servidores. Posteriormente, os invasores redefiniram as senhas das contas dos servidores ESXi, abrindo caminho para a implantação de seu ransomware. Antes de criptografar o sistema, a equipe Daixin exfiltra estrategicamente informações de identificação pessoal (PII) e PHI, usando os dados roubados como vantagem adicional durante as negociações de resgate.

Como lidar com um ataque de ransomware Daixin

O primeiro passo para a recuperação de um ataque Daixin é isolar o computador infectado, desconectando-o da Internet e removendo qualquer dispositivo conectado. Então, você deve entrar em contato com as autoridades locais. No caso de residentes e empresas dos EUA, é oFBIe oCentro de denúncias de crimes na Internet (IC3).Para denunciar um ataque de ransomware, você deve coletar todas as informações possíveis sobre ele, incluindo:

• Capturas de tela da nota de resgate
• Comunicações com atores de ameaças (se você os tiver)
• Uma amostra de um arquivo criptografado

Entretanto, se você preferirentre em contato com profissionais, então não faça nada.Deixe cada máquina infectada como estáe peça umserviço emergencial de remoção de ransomware. Reiniciar ou desligar o sistema pode comprometer o serviço de recuperação. Capturar a RAM de um sistema ativo pode ajudar a obter a chave de criptografia e capturar um arquivo dropper, ou seja, um arquivo que executa a carga maliciosa (um código de software ou programas que executam ações não autorizadas em um sistema de destino), pode sofrer engenharia reversa e levar à descriptografia dos dados ou à compreensão de como eles funcionam.não exclua o ransomwaree guarde todas as evidências do ataque. Isso é importante paraperícia digitalpara que os especialistas possam rastrear o grupo de hackers e identificá-los. É usando os dados do seu sistema infectado que as autoridades podeminvestigue o ataque e encontre o responsável.Uma investigação de ataque cibernético não é diferente de qualquer outra investigação criminal: necessita de provas para encontrar os atacantes.

1. Entre em contato com seu provedor de resposta a incidentes

Uma resposta a incidentes cibernéticos é o processo de resposta e gerenciamento de um incidente de segurança cibernética. Um Retentor de Resposta a Incidentes é um contrato de serviço com um provedor de segurança cibernética que permite às organizações obter ajuda externa com incidentes de segurança cibernética. Ele fornece às organizações conhecimento estruturado e suporte por meio de um parceiro de segurança, permitindo-lhes responder de forma rápida e eficaz durante um incidente cibernético. Um retentor de resposta a incidentes oferece tranquilidade às organizações, oferecendo suporte especializado antes e depois de um incidente de segurança cibernética. A natureza e a estrutura específicas de um retentor de resposta a incidentes variam de acordo com o fornecedor e os requisitos da organização. Um bom retentor de resposta a incidentes deve ser robusto, mas flexível, fornecendo serviços comprovados para melhorar a postura de segurança de uma organização a longo prazo.Se você entrar em contato com seu provedor de serviços de RI, ele poderá assumir o controle imediatamente e orientá-lo em cada etapa da recuperação do ransomware.No entanto, se você decidir remover o ransomware sozinho e recuperar os arquivos com sua equipe de TI, poderá seguir as próximas etapas.

2. Identifique a infecção por ransomware

A identificação de qual ransomware infectou sua máquina pode ser feita verificando a extensão do arquivo (alguns ransomware usam a extensão do arquivo como nome),usando uma ferramenta de identificação de ransomware, ou estará na nota de resgate. Com essas informações, você pode procurar uma chave de descriptografia pública. Você também pode verificar o tipo de ransomware por seus IOCs.

3. Remova o ransomware e elimine kits de exploração

Antes de recuperar seus dados, você deve garantir que seu dispositivo esteja livre de ransomware e que os invasores não possam realizar um novo ataque através de kits de exploração ou outras vulnerabilidades. Um serviço de remoção de ransomware pode excluí-lo, criar um documento forense para investigação, eliminar vulnerabilidades e recuperar seus dados.

4. Use um backup para restaurar os dados

A importância do backup para a recuperação de dados não pode ser exagerada, especialmente no contexto de vários riscos e ameaças potenciais à integridade dos dados. Os backups são um componente crítico de uma estratégia abrangente de proteção de dados. Eles fornecem um meio de recuperação contra diversas ameaças, garantindo a continuidade das operações e preservando informações valiosas. Diante de ataques de ransomware, onde software malicioso criptografa seus dados e exige pagamento pela sua liberação, ter um backup permite que você restaure suas informações sem sucumbir às demandas do invasor. Teste e atualize regularmente seus procedimentos de backup para aumentar sua eficácia na proteção contra possíveis cenários de perda de dados. Existem várias maneiras de fazer um backup, então você deve escolher o meio de backup correto e ter pelo menos uma cópia dos seus dados armazenados fora do local e offline.

5. Contate um serviço de recuperação de ransomware

Se você não tiver um backup ou precisar de ajuda para remover o ransomware e eliminar vulnerabilidades, entre em contato com um serviço de recuperação de dados. Pagar o resgate não garante que seus dados serão devolvidos a você. A única maneira garantida de restaurar todos os arquivos é se você tiver um backup. Caso contrário, os serviços de recuperação de dados de ransomware podem ajudá-lo a descriptografar e recuperar os arquivos. Os especialistas em SalvageData podem restaurar seus arquivos com segurança e evitar que o ransomware Daixin ataque sua rede novamente. Entre em contato com nossos especialistas em recuperação 24 horas por dia, 7 dias por semana.

Prevenir o ataque de ransomware Daixin

Prevenir ransomware é a melhor solução para segurança de dados. é mais fácil e mais barato do que recuperar deles. O ransomware Daixin pode custar o futuro da sua empresa e até fechar suas portas. Estas são algumas dicas para garantir que você possaevite ataques de ransomware:

• Mantenha o software atualizado para evitar vulnerabilidades que podem ser exploradas por ransomware.
• Use senhas fortes e autenticação de dois fatores para evitar acesso não autorizado aos sistemas.
• Faça backup regularmente de arquivos importantes e armazene-os em um local seguro.
• Tenha cuidado ao abrir anexos de e-mail ou clicar em links de fontes desconhecidas.
• Use um software antivírus confiável e mantenha-o atualizado.