Snatch Ransomware: Guia Completo

Snatch não é uma ameaça nova, esta família de ransomware e suas variantes têm atacado organizações e empresas desde 2019. É um malware de alto risco que bloqueia e exfiltra dados das vítimas. Os hackers então exigem o pagamento de um resgate em troca da chave de descriptografia e uma “garantia” de que não vazarão os dados em seu site Tor. Essa tática é conhecida comoextorsão dupla.O ransomware Snatch aproveita o fato de o Windows não executar mecanismos de segurança em dispositivos endpoint quando o sistema é reinicializado no modo de segurança. Então, para evitar a detecção, o malware força as máquinas infectadas a reiniciarem no Modo de Segurança.

Que tipo de malware é o Snatch?

Snatch ransomware é um tipo de malware particularmente furtivo. Ele utiliza ferramentas integradas e disponíveis publicamente para suas atividades maliciosas e é conhecido por atingir empresas em vários setores, incluindo saúde, finanças e varejo. O ransomware Snatch também é conhecido por exfiltrar dados confidenciais e críticos das vítimas antes de criptografá-los e, em seguida, ameaçar vazá-los, a menos que paguem o resgate. O malware gera um par de chaves RSA-2048 exclusivo no computador da vítima, que é usado para criptografar arquivos com o algoritmo de criptografia simétrica AES-256. A chave pública é então criptografada usando uma chave pública codificada incluída no malware e enviada ao servidor dos invasores. Os invasores então usam sua chave privada para descriptografar a chave pública da vítima e enviar de volta uma chave de descriptografia que pode ser usada para recuperar os arquivos criptografados.

Tudo o que sabemos sobre o ransomware Snatch

Esta lista contém informações básicas sobre a nova cepa de ransomware conhecida como Snatch.Nome confirmado

Arrebatar vírus

Tipo de ameaça

Ransomware
Malware furtivo
vírus criptográfico
Armário de arquivos
Dupla extorsão

Extensão de arquivos criptografados

.arrebatar
.cobra
.vocês
.google
.dglnl
.ohwqg
.wvtr0
.hceem

Mensagem exigindo resgate

Leiame_Restore_Files.txt
Restore_JIMM_Files.txt
RESTORE_DGLNL_FILES.txt
RESTORE_HCEEM_DATA.txt
RESTORE_WVTR0_FILES.txt
DECRYPT_GOOGL_FILES.txt
DECRYPT_OHWQG_FILES.txt

Nomes de detecção

AvastWin64:Evo-gen [Trj]
MédiaWin64:Evo-gen [Trj]
EmsisoftGenérico.Ransom.Snatch.5D562140 (B)
KasperskyTrojan.Win32.DelShad.ea
MalwarebytesGenérico.Malware/Suspeito
MicrosoftVirTool:MSIL/CryptInject

Família, tipo e variante de ransomwareExistem muitas variantes do ransomware Snatch, mas algumas delas usam seu próprio método de criptografia e extensões para arquivos criptografados.Métodos de distribuição

E-mails de phishing
Anexos de e-mail maliciosos
Engenharia social

Consequências

Exfiltração de dados
Criptografia de arquivo

Existe um descriptografador gratuito disponível?

No.Não há nenhum descriptografador público conhecido para o Snatch ransomware disponível no momento.

O que são os IOCs do Snatch ransomware?

Indicadores de comprometimento (IOCs) são artefatos observados em uma rede ou sistema operacional que indicam uma invasão de computador com alta confiança. Os IOCs podem ser usados para detecção precoce de futuras tentativas de ataque usando sistemas de detecção de intrusão e software antivírus. Os Indicadores de Compromisso (IOCs) do Snatch ransomware incluem:

Incapacidade de abrir arquivos armazenados em seu computador.Depois de infectar um sistema, o Snatch ransomware criptografa os arquivos da vítima e os torna inacessíveis.
Arquivos anteriormente funcionais não estão mais acessíveis.O Snatch ransomware substitui os arquivos originais por versões criptografadas que só podem ser descriptografadas com uma chave específica conhecida apenas pelos invasores.
Mensagens exigindo pagamento.Depois de criptografar os arquivos da vítima, o Snatch ransomware exibe uma mensagem exigindo pagamento em troca de uma chave de descriptografia que permitirá à vítima acessar seus arquivos novamente.
O sistema é reinicializado no modo de segurança.O Snatch ransomware é conhecido por reinicializar sistemas infectados no Modo de Segurança para contornar antivírus e outros softwares de segurança.

Como você encontra a nota de resgate do Snatch ransomware

A nota de resgate do Snatch é curta e explica as etapas que as vítimas devem seguir para recuperar seus dados. A nota afirma que o caminho mais fácil para que a empresa volte a funcionar normalmente é pagar o resgate.Não pague o resgate nem negocie com os atores da ameaça. Contate os especialistas da SalvageData imediatamente para restaurar seus arquivos e denunciar o ransomware às autoridades locais.Exemplo da nota de resgate do Snatch:

Como o ransomware Snatch se espalha

Snatch ransomware é um malware perigoso que pode infectar um computador ou rede de várias maneiras, incluindo:

E-mails de spam e phishing que fingem ser empresas legítimas. Os golpistas enviam e-mails que parecem ser de empresas legítimas, como PayPal, UPS, FedEx e outros. Esses e-mails contêm links ou anexos que colocam seus dados e sua rede em risco. Um clique em um link ou um download de um anexo pode bloquear o acesso de todos à sua rede.

Engenharia social.É um tipo de ataque cibernético que depende da interação humana para induzir as vítimas a divulgar informações confidenciais, clicar em links ou anexos ou realizar outras ações que comprometam a segurança. O objetivo dos ataques de engenharia social é explorar a psicologia e o comportamento humano para obter acesso a informações ou sistemas confidenciais. Os invasores podem se passar por uma figura de autoridade confiável, como um representante de um banco ou um técnico de TI, ou criar um senso de urgência ou medo para pressionar a vítima a agir.

Como o Snatch ransomware infecta um computador ou rede

O Snatch ransomware é conhecido por sua capacidade de contornar o software antivírus reiniciando o computador infectado no modo de segurança, onde a maioria dos softwares de segurança não é executada. Depois que o Snatch infecta um sistema, ele começa a criptografar os arquivos e adiciona uma extensão “.snatch” ou variantes aos nomes dos arquivos. Os invasores então exigem pagamento em troca de uma chave de descriptografia que restaurará o acesso aos arquivos criptografados. Além da criptografia de arquivos, o Snatch ransomware também é conhecido por roubar dados confidenciais, como credenciais de login e informações financeiras, de sistemas infectados.

Como lidar com um ataque de ransomware Snatch

Importante:O primeiro passo após identificar os Snatch IOCs é recorrer ao seu Plano de Resposta a Incidentes (IRP). Idealmente, você tem um Retentor de Resposta a Incidentes (IRR) com uma equipe confiável de profissionais que podem ser contatados 24 horas por dia, 7 dias por semana, 365 dias por ano, e eles podem tomar medidas imediatas que evitarão a perda de dados, reduzirão ou eliminarão o pagamento do resgate e ajudarão você em quaisquer responsabilidades legais. você entrar em contato com as autoridades locais do seu país. Para residentes e empresas dos EUA, é oescritório local do FBIe oCentro de denúncias de crimes na Internet (IC3). Para denunciar um ataque de ransomware, você deve reunir todas as informações possíveis sobre ele, incluindo:

Capturas de tela da nota de resgate
Comunicações com atores do Snatch (se você os tiver)
Uma amostra de um arquivo criptografado

No entanto, se você não tiver um IRP ou IRR, ainda poderáentre em contato com profissionais de remoção e recuperação de ransomware. Este é o melhor curso de ação e aumenta muito as chances de remover o ransomware com sucesso, restaurar os dados e prevenir ataques futuros. Recomendamos que vocêdeixe todas as máquinas infectadas como estãoe ligue para umserviço de recuperação de ransomware de emergência.Reiniciar ou desligar o sistema pode comprometer o processo de recuperação. A captura da RAM de um sistema ativo pode ajudar a obter a chave de criptografia, e a captura de um arquivo dropper pode sofrer engenharia reversa e levar à descriptografia dos dados ou à compreensão de como eles funcionam.

O que NÃO fazer para se recuperar de um ataque de ransomware Snatch

Você devenão exclua o ransomwaree guarde todas as evidências do ataque. Isso é importante paraperícia digitalpara que os especialistas possam rastrear o grupo de hackers e identificá-los. É usando os dados do seu sistema infectado que as autoridades podeminvestigue o ataque e encontre o responsável.Uma investigação de ataque cibernético não é diferente de qualquer outra investigação criminal: necessita de provas para encontrar os atacantes.

RELACIONADO:Akira Ransomware: Guia Completo

1. Entrando em contato com seu provedor de resposta a incidentes

Uma resposta a incidentes cibernéticos é o processo de resposta e gerenciamento de um incidente de segurança cibernética. Um Retentor de Resposta a Incidentes é um contrato de serviço com um provedor de segurança cibernética que permite às organizações obter ajuda externa com incidentes de segurança cibernética. Ele fornece às organizações uma forma estruturada de conhecimento e suporte por meio de um parceiro de segurança, permitindo-lhes responder de forma rápida e eficaz no caso de um incidente cibernético. Um retentor de resposta a incidentes oferece tranquilidade às organizações, oferecendo suporte especializado antes e depois de um incidente de segurança cibernética. A natureza e a estrutura específicas de um contrato de resposta a incidentes variam de acordo com o fornecedor e os requisitos da organização. Um bom retentor de resposta a incidentes deve ser robusto, mas flexível, fornecendo serviços comprovados para melhorar a postura de segurança de longo prazo de uma organização. Se você entrar em contato com seu provedor de serviços de RI, ele cuidará de todo o resto. No entanto, se você decidir remover o ransomware e recuperar os arquivos com sua equipe de TI, poderá seguir as próximas etapas.

2. Identifique a infecção por ransomware

Você podeidentificar qual ransomwareinfectou sua máquina pela extensão do arquivo (alguns ransomware usam a extensão do arquivo como nome) ou estará na nota de resgate. Com essas informações, você pode procurar uma chave de descriptografia pública. Você também pode verificar o tipo de ransomware por seus IOCs. Indicadores de comprometimento (IOCs) são pistas digitais que os profissionais de segurança cibernética usam para identificar comprometimentos de sistema e atividades maliciosas em uma rede ou ambiente de TI. Eles são essencialmente versões digitais de evidências deixadas na cena do crime, e possíveis IOCs incluem tráfego de rede incomum, logins de usuários privilegiados de países estrangeiros, solicitações estranhas de DNS, alterações em arquivos do sistema e muito mais. Quando um IOC é detectado, as equipes de segurança avaliam possíveis ameaças ou validam sua autenticidade. Os IOCs também fornecem evidências do que um invasor teria acesso caso se infiltrasse na rede.

3. Remova o ransomware e elimine kits de exploração

Antes de recuperar seus dados, você deve garantir que seu dispositivo esteja livre de ransomware e que os invasores não possam realizar um novo ataque através de kits de exploração ou outras vulnerabilidades. Um serviço de remoção de ransomware pode excluí-lo, criar um documento forense para investigação, eliminar vulnerabilidades e recuperar seus dados. Use software antimalware/antiransomware para colocar em quarentena e remover o software malicioso.Importante:Ao entrar em contato com os serviços de remoção de ransomware, você pode garantir que sua máquina e rede não tenham nenhum vestígio do ransomware Snatch. Além disso, esses serviços podem corrigir seu sistema, evitando novos ataques.

4. Use um backup para restaurar os dados

Os backups são a maneira mais eficiente de recuperar dados. Certifique-se de manter backups diários ou semanais, dependendo do uso de dados.

5. Contate um serviço de recuperação de ransomware

Se você não tiver um backup ou precisar de ajuda para remover o ransomware e eliminar vulnerabilidades, entre em contato com um serviço de recuperação de dados. Pagar o resgate não garante que seus dados serão devolvidos a você. A única maneira garantida de restaurar todos os arquivos é se você tiver um backup deles. Caso contrário, os serviços de recuperação de dados de ransomware podem ajudá-lo a descriptografar e recuperar os arquivos. Os especialistas em SalvageData podem restaurar seus arquivos com segurança e evitar que o Snatch ransomware ataque sua rede novamente.relatório forense digitalque você pode usar para uma investigação mais aprofundada e para entender como o ataque cibernético aconteceu. Entre em contato com nossos especialistas 24 horas por dia, 7 dias por semana, para obter serviço de recuperação de emergência.

Evite o ataque do ransomware Snatch

Prevenir ransomware é a melhor solução para segurança de dados. é mais fácil e mais barato do que recuperar deles. O Snatch ransomware pode custar o futuro da sua empresa e até fechar suas portas. Estas são algumas dicas para garantir que você possaevite ataques de ransomware: