O ransomware MedusaLocker foi detectado pela primeira vez em setembro de 2019 e, desde então, infectou e criptografou sistemas em vários setores, visando principalmente o setor de saúde. Os atores do MedusaLocker dependem predominantemente de vulnerabilidades em serviços remotos para acessar as redes das vítimas. Os atores usam serviços como RDP, PsExec e SMB para infectar outros hosts na rede da vítima.
Os especialistas da SalvageData recomendam medidas proativas de segurança de dados, como backups regulares, práticas fortes de segurança cibernética e manutenção do software atualizado, para proteção contra ataques de ransomware. E,em caso de ataque de ransomware, entre em contato imediatamente com nossos especialistas em recuperação de ransomware.
Veja também:MEOW Ransomware: Guia Completo
Que tipo de malware é o MedusaLocker?
MedusaLocker é um ransomware conhecido por atingir várias organizações, especialmente empresas de saúde e farmacêuticas. Ele opera como um modelo Ransomware como serviço (RaaS) baseado na divisão observada de pagamentos de resgate. Embora compartilhe um nome semelhante, não há evidências claras de que MedusaLocker tenha qualquer conexão com o ransomware Medusa.
Tudo o que sabemos sobre o ransomware MedusaLocker
Nome confirmado
- Vírus MedusaLocker
Tipo de ameaça
- Ransomware
- vírus criptográfico
- Armário de arquivos
- Dupla extorsão
Existe um descriptografador gratuito disponível?Não, não existe um descriptografador público para o ransomware MedusaLocker.Métodos de distribuição
- E-mails de phishing
- Serviços remotos
Consequências
- Os arquivos são criptografados e bloqueados
- Vazamento de dados
- Dupla extorsão
O que está na nota de resgate do MedusaLocker
A nota de resgate é colocada em cada pasta e descreve como se comunicar com os invasores e pagar o resgate em Bitcoin. Também alerta as vítimas contra renomear, modificar ou tentar desencriptar os ficheiros encriptados usando desencriptadores de terceiros, afirmando que isso os corromperia permanentemente e desaconselha modificar ou renomear os ficheiros encriptados.
Se você perceber que é uma vítima de ransomware, entrar em contato com os especialistas em remoção de ransomware da SalvageData fornecerá um serviço seguro de recuperação de dados e remoção de ransomware após um ataque.
Métodos de infecção e criptografia do ransomware MedusaLocker
O ransomware MedusaLocker usa várias técnicas para espalhar e infectar outros hosts na rede da vítima.
- Serviços remotos: O ransomware MedusaLocker usa serviços remotos, como Remote Desktop Protocol (RDP), PsExec e Server Message Block (SMB).
- Campanhas de phishing: O ransomware MedusaLocker também pode entrar em redes por meio de campanhas de phishing nas quais o malware é anexado a e-mails.
Depois que o ransomware MedusaLocker obtém acesso a uma rede, ele segue o ciclo de vida típico de um ataque de ransomware e impede que as vítimas acessem seus dados. Ele criptografa os dados da vítima usando uma combinação de AES e RSA-2048. O MedusaLocker estabelecerá ainda mais a persistência excluindo backups locais, desativando a recuperação de inicialização e, por fim, colocando uma nota de resgate em cada pasta que contém um arquivo com os dados criptografados do host comprometido.
Não cumpra o pedido de resgate!Entre em contato com as autoridades locais e com um serviço de remoção de ransomware para restaurar seus arquivos e remover qualquer ameaça potencial.
IOCs de ransomware MedusaLocker conhecidos
IOC significa “Indicador de Compromisso” no contexto da segurança cibernética. É um termo forense que se refere às evidências em um dispositivo que apontam uma violação de segurança. Embora os dados do IOC sejam coletados após um incidente suspeito, evento de segurança ou chamadas inesperadas da rede, é uma boa prática de segurança cibernética verificar os dados do IOC regularmente para detectar atividades e vulnerabilidades incomuns. O IOC inclui extensões de arquivo, endereços IP, hashes de arquivos, endereços de e-mail, carteiras de pagamento e nomes de arquivos de notas de resgate. Como o MedusaLocker é RaaS, seus IOCs variam de acordo com a variante e a gangue cibercriminosa que o opera.CISA’s MedusaLocker advisorytambém inclui os seguintes IOCs:Nomes conhecidos de arquivos de notas de resgate:
- como_recuperar_dados.html
- como_recuperar_dados.html.marlock01
- instruções.html
- READINSTRUCTION.html
- !!!COMO_DESCRIPTAR!!!.
Extensões de arquivos criptografados conhecidos:
- .1 BTC
- .matlock20
- .readinstructions
- .bec
- .mylock
- .deadfilesgr
- .lockfiles
- .tyco
- .fileslock
- .zoomzoom
- .marlock08
- .marlock25
Como lidar com um ataque de ransomware MedusaLocker
O primeiro passo para se recuperar de um ataque MedusaLocker é isolar o computador infectado desconectando-se da Internet e removendo qualquer dispositivo conectado. Então, você deve entrar em contato com as autoridades locais. No caso de residentes e empresas dos EUA, é oFBIe oCentro de denúncias de crimes na Internet (IC3).Para denunciar um ataque de ransomware, você deve coletar todas as informações possíveis sobre ele, incluindo:
- Capturas de tela da nota de resgate
- Comunicações com atores de ameaças (se você os tiver)
- Uma amostra de um arquivo criptografado
Entretanto, se você preferirentre em contato com profissionais, então é melhordeixe cada máquina infectada do jeito que estáe peça umserviço emergencial de remoção de ransomware. Esses profissionais estão equipados para mitigar rapidamente os danos, coletar evidências, potencialmente reverter a criptografia e restaurar o sistema.
Reiniciar ou desligar o sistema pode comprometer a recuperação do sistema. Capturar a RAM de um sistema ativo pode ajudar a obter a chave de criptografia, e capturar um arquivo dropper, ou seja, um arquivo que executa a carga maliciosa, pode ajudar a fazer engenharia reversa da própria criptografia e levar à descriptografia dos dados ou a uma melhor compreensão de como ela funciona.
1. Entre em contato com seu provedor de resposta a incidentes
Uma resposta a incidentes cibernéticos é o processo de resposta e gerenciamento de um incidente de segurança cibernética. Um Retentor de Resposta a Incidentes é um contrato de serviço com um provedor de segurança cibernética que permite às organizações obter ajuda externa com incidentes de segurança cibernética. Ele fornece às organizações uma forma estruturada de conhecimento e suporte por meio de um parceiro de segurança, permitindo-lhes responder de forma rápida e eficaz durante um incidente cibernético. Um retentor de resposta a incidentes oferece tranquilidade às organizações, oferecendo suporte especializado antes e depois de um incidente de segurança cibernética. A natureza e a estrutura específicas de um retentor de resposta a incidentes variam de acordo com o fornecedor e os requisitos da organização. Um bom retentor de resposta a incidentes deve ser robusto, mas flexível, fornecendo serviços comprovados para melhorar a postura de segurança de uma organização a longo prazo.Se você entrar em contato com seu provedor de serviços de RI, ele poderá assumir o controle imediatamente e orientá-lo em cada etapa da recuperação do ransomware.No entanto, se você decidir remover o ransomware sozinho e recuperar os arquivos com sua equipe de TI, poderá seguir as próximas etapas.
2. Identifique a infecção por ransomware
Você pode identificar qual ransomware infectou sua máquina pela extensão do arquivo (alguns ransomware usam a extensão do arquivo como nome),usando uma ferramenta de identificação de ransomware, ou estará na nota de resgate. Com essas informações, você pode procurar uma chave de descriptografia pública.
3. Remova o ransomware e elimine kits de exploração
Antes de recuperar seus dados, você deve garantir que seu dispositivo esteja livre de ransomware e que os invasores não possam realizar um novo ataque através de kits de exploração ou outras vulnerabilidades. Um serviço de remoção de ransomware pode excluí-lo, criar um documento forense para investigação, eliminar vulnerabilidades e recuperar seus dados.
4. Use um backup para restaurar os dados
A importância do backup para a recuperação de dados não pode ser exagerada, especialmente no contexto de vários riscos e ameaças potenciais à integridade dos dados. Os backups são um componente crítico de uma estratégia abrangente de proteção de dados. Eles fornecem um meio de recuperação contra diversas ameaças, garantindo a continuidade das operações e preservando informações valiosas. Diante de ataques de ransomware, onde software malicioso criptografa seus dados e exige pagamento pela sua liberação, ter um backup permite que você restaure suas informações sem sucumbir às demandas do invasor. Teste e atualize regularmente seus procedimentos de backup para aumentar sua eficácia na proteção contra possíveis cenários de perda de dados. Existem várias maneiras de fazer um backup, então você deve escolher o meio de backup correto e ter pelo menos uma cópia dos seus dados armazenados fora do local e offline.
5. Contate um serviço de recuperação de ransomware
Se você não tiver um backup ou precisar de ajuda para remover malware e eliminar vulnerabilidades, entre em contato com um serviço de recuperação de dados. Pagar o resgate não garante que seus dados serão devolvidos a você. A única maneira garantida de restaurar todos os arquivos é se você tiver um backup. Caso contrário, os serviços de recuperação de dados de ransomware podem ajudá-lo a descriptografar e recuperar os arquivos. Os especialistas em SalvageData podem restaurar seus arquivos com segurança e evitar que o ransomware MedusaLocker ataque sua rede novamente. Entre em contato com nossos especialistas em recuperação 24 horas por dia, 7 dias por semana.não exclua o ransomwaree guarde todas as evidências do ataque. Isso é importante paraperícia digitalpara que os especialistas possam rastrear o grupo de hackers e identificá-los. É usando os dados do seu sistema infectado que as autoridades podeminvestigue o ataque e encontre o responsável.Uma investigação de ataque cibernético não é diferente de qualquer outra investigação criminal: necessita de provas para encontrar os atacantes.
Evite o ataque do ransomware MedusaLocker
Prevenir ransomware é a melhor solução para segurança de dados, pois é mais fácil e barato do que recuperar de ataques. O ransomware MedusaLocker pode custar o futuro da sua empresa e até mesmo fechar suas portas. Ao tomar essas medidas proativas, indivíduos e organizações podem reduzir o risco de um ataque do ransomware MedusaLocker e proteger seus dados contra criptografia e retenção para resgate.
- Eduque os funcionáriossobre segurança cibernética e conscientização sobre phishing para ajudá-los a reconhecer e evitar tentativas de phishing.
- Implementar medidas de segurança, como firewalls, software antivírus e sistemas de detecção de intrusões, para detectar e bloquear tráfego malicioso.
- Fique atentoe monitore a atividade da rede em busca de quaisquer sinais de comportamento suspeito.
- Mantenha o software atualizadocom os patches de segurança mais recentes para evitar que ransomware explore vulnerabilidades não corrigidas.
- Implementar fortes controles de acesso,como autenticação multifatorial e monitoramento regular de credenciais, para evitar que operadores de ransomware obtenham acesso a sistemas usando credenciais roubadas ou fracas.
- Proteja dispositivos não gerenciados e políticas BYODimplementando medidas de segurança, como criptografia de dispositivos e recursos de limpeza remota.
- Verifique e corrija regularmente aplicativos voltados para a Internetpara evitar que operadores de ransomware explorem vulnerabilidades.
