BlackSuit Ransomware: Ghidul complet

BlackSuit ransomware este un tip de malware despre care se știe că vizează atât utilizatorii Windows, cât și Linux și împiedică victimele să-și acceseze fișierele prin criptarea acestora. De obicei, puteți identifica acest ransomware deoarece BlackSuit adaugă extensia „.blacksuit” la numele fișierelor și schimbă imaginea de fundal de pe desktop, creează o notă de răscumpărare numită „README.BlackSuit.txt” și redenumește fișierele. Nota de răscumpărare BlackSuit va face mai multe afirmații, mai ales că fișierele esențiale au fost criptate și stocate pe un server de raportare de proprietate intelectuală și, prin urmare, alte fișiere securizate de raportare de proprietate intelectuală și, prin urmare, alte fișiere sensibile. fost compromisă. BlackSuit are, de asemenea, un site de scurgeri de date ca parte a strategiei sale de dublă extorcare pentru a constrânge victimele să plătească cererea de răscumpărare.

Ce fel de malware este BlackSuit?

BlackSuit este un ransomware, un tip de malware care criptează fișierele de pe sistemul unei victime și solicită plata în schimbul cheii de decriptare. Odată ce ransomware-ul infectează un sistem, folosește funcțiile API FindFirstFileW() și FindNextFileW() pentru a enumera fișierele și directoarele și pentru a iniția procesul de criptare. Ransomware-ul BlackSuit utilizează algoritmul Advanced Encryption Standard (AES) pentru a cripta fișierele. Algoritmul AES este un algoritm de criptare simetric care este utilizat pe scară largă pentru criptarea datelor. Ransomware-ul BlackSuit folosește AES OpenSSL pentru criptare și folosește tehnici similare de criptare intermitentă pentru criptarea rapidă și eficientă a fișierelor victime. Ransomware-ul BlackSuit vizează atât utilizatorii de sisteme de operare Windows, cât și Linux. Ransomware-ul elimină nota de răscumpărare numită „README.BlackSuit.txt” în fiecare director pe care îl traversează. După criptarea fișierelor, le redenumește adăugând extensia „.BlackSuit”.

Tot ce știm despre BlackSuit Ransomware

Nume confirmat

• Virusul BlackSuit

Tipul de amenințare

• Ransomware
• Criptovirus
• Dulapul de fișiere
• Extorcare dublă

Extensie de fișiere criptate

• .costumul negru

Mesaj care solicită răscumpărare

Citește și:Grupul Daixin Ransomware: Ghid complet

• README.BlackSuit.txt

Nume de detectare

• AvastWin32: malware-gen
• KasperskyHEUR:Trojan-Ransom.Win32.Generic
• SophosMal/Generic-S (PUA)
• MicrosoftRăscumpărare:Win32/BlackSuit.B

Metode de distribuire

• Atașamentele de e-mail infectate (macro-uri)
• Site-uri web cu torrent
• Reclame rău intenționate
• troieni

Consecințele

• Fișierele sunt criptate și blocate până la plata răscumpărării
• Scurgere de date
• Extorcare dublă

Varianta Windows

• Variantele Windows pe 32 de biți ale familiilor de ransomware BlackSuit și Royal au o similaritate de 93,2% în funcții, 99,3% similaritate în blocurile de bază și 98,4% în salturi bazate pe BinDiff.
• BlackSuit și Royal folosesc AES OpenSSL pentru criptare și folosesc tehnici similare de criptare intermitentă.

Varianta Linux

• Varianta Linux a ransomware-ului BlackSuit este un executabil ELF pe 64 de biți compilat cu GCC cu sha256 ca 1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e.
• Variantele Linux de Royal și BlackSuit au 98% similaritate în funcție, 99,5% similaritate în blocuri și 98,9% similaritate în salturi bazate pe instrumentul de comparare BinDiff.

Există un decriptor gratuit disponibil?

Nu.Nu există un decriptor public cunoscut pentru ransomware BlackSuit disponibil în acest moment.

Ce sunt IOC-urile BlackSuit ransomware?

Indicatorii de compromis (IOC) sunt artefacte observate într-o rețea sau într-un sistem de operare care indică o intruziune a computerului cu mare încredere. IOC-urile pot fi utilizate pentru detectarea timpurie a viitoarelor încercări de atac folosind sisteme de detectare a intruziunilor și software antivirus. Este posibil ca infecția cu ransomware BlackSuit să nu arate niciun simptom vizibil până când apare notificarea de răscumpărare. Cu toate acestea, iată câteva simptome care pot indica o infecție cu ransomware BlackSuit:

• Fișierele nu pot fi deschise sau accesate, iar numele lor au fost schimbate pentru a include extensia „.blacksuit”.
• Tapetul de pe desktop a fost schimbat.
• O notă de răscumpărare numită „README.BlackSuit.txt” este prezentă în fiecare director.
• Nota de răscumpărare susține că fișierele esențiale au fost criptate și stocate pe un server securizat și că rapoartele financiare, proprietatea intelectuală, fișierele personale și alte date sensibile au fost compromise.
• Victima poate primi un mesaj prin care se solicită plata în schimbul cheii de decriptare.

Dacă oricare dintre aceste simptome este prezent, se recomandă să luați măsuri imediate pentru a preveni deteriorarea ulterioară și pierderea datelor. Contactarea experților în eliminarea ransomware-ului SalvageData vă oferă un serviciu sigur de recuperare a datelor și eliminarea ransomware după un atac.

Ce este în nota de răscumpărare BlackSuit

Nota de răscumpărare generată de ransomware BlackSuit se numește „README.BlackSuit.txt” și este aruncată în fiecare director pe care îl traversează. Nota conține un mesaj de la atacatori care susține că fișierele esențiale au fost criptate și stocate pe un server securizat. Nota menționează, de asemenea, că rapoartele financiare, proprietatea intelectuală, fișierele personale și alte date sensibile au fost compromise. Atacatorii solicită o plată de răscumpărare în schimbul cheii de decriptare. În general, tonul notei de răscumpărare BlackSuit este conceput pentru a crea un sentiment de urgență și teamă în victimă, obligându-o să respecte cerințele atacatorilor. Exemplu de nota de răscumpărare BlackSuit:

Cum se răspândește ransomware-ul BlackSuit

Modalități comune în care BlackSuit ransomware-ul poate infecta un sistem:

Atașamentele de e-mail infectate (macro-uri)

• Infractorii cibernetici pot distribui ransomware BlackSuit prin atașamente de e-mail care conțin link-uri sau macrocomenzi infectate.
• Utilizatorii care deschid aceste atașamente sau activează macrocomenzi pot declanșa din neatenție execuția ransomware-ului pe sistemul lor.

Site-uri web cu torrent

• Ransomware-ul BlackSuit poate fi încorporat în fișiere torrent, care sunt utilizate în mod obișnuit pentru descărcarea și partajarea fișierelor prin rețele peer-to-peer.
• Când utilizatorii descarcă și deschid aceste fișiere torrent infectate, sistemele lor pot fi infectate cu ransomware.

Reclame rău intenționate

• Reclamele rău intenționate, cunoscute și sub numele de malvertising, pot fi folosite ca metodă de distribuire a ransomware-ului BlackSuit.
• Utilizatorii care fac clic pe aceste reclame pot fi redirecționați către site-uri web care descarcă și instalează automat ransomware-ul pe sistemul lor.

troieni

• Ransomware-ul BlackSuit poate fi livrat prin troieni, care sunt programe rău intenționate care pot descărca și instala alte tipuri de malware, inclusiv ransomware.
• Troienii pot fi distribuiti prin diverse mijloace, cum ar fi e-mailuri de phishing, actualizări de software false sau site-uri web compromise

Cum funcționează ransomware-ul BlackSuit?

BlackSuit ransomware este un tip de malware care funcționează ca o amenințare ransomware, împiedicând victimele să-și acceseze fișierele prin criptarea acestora. Este important de reținut că comportamentul și funcționalitatea specifică a ransomware-ului BlackSuit pot varia în funcție de versiuni sau variante diferite. Iată o descriere a modului în care funcționează de obicei ransomware-ul BlackSuit:

Distributie

Ransomware-ul BlackSuit este distribuit prin diferite metode, inclusiv atașamente de e-mail infectate, site-uri web torrent, reclame rău intenționate și troieni.

Execuţie

Odată ce ransomware-ul infectează un sistem, acesta inițiază procesul de criptare. Utilizează funcțiile API FindFirstFileW() și FindNextFileW() pentru a enumera fișierele și directoarele din sistem.

Criptare

Ransomware-ul BlackSuit utilizează un algoritm criptografic puternic, cum ar fi Advanced Encryption Standard (AES), pentru a cripta tipurile de fișiere vizate. Fișierele criptate sunt modificate prin adăugarea extensiei „.blacksuit” la numele lor originale.

Notă de răscumpărare

După criptarea fișierelor, BlackSuit ransomware aruncă o notă de răscumpărare numită „README.BlackSuit.txt” în fiecare director pe care îl traversează. Nota de răscumpărare servește ca o comunicare din partea atacatorilor, cerând o plată de răscumpărare în schimbul cheii de decriptare.

Schimbarea imaginii de fundal de pe desktop

BlackSuit ransomware modifică și imaginea de fundal a sistemului infectat, afișând un mesaj sau o imagine legată de atacul ransomware.

Pierderea și extorcarea de date

Fișierele criptate devin inaccesibile și inutilizabile fără cheia de decriptare. Atacatorii pot amenința că vor scurge sau vinde datele compromise dacă răscumpărarea nu este plătită.

Nu plătiți răscumpărarea!Victimele atacurilor cu ransomware BlackSuit sunt sfătuite să raporteze incidentul forțelor de ordine și să solicite asistența unui profesionist de renume în securitate cibernetică.

Cum să gestionați un atac ransomware BlackSuit

Important:Primul pas după identificarea IOC-urilor BlackSuit este să recurgeți la Planul de răspuns la incident (IRP). În mod ideal, aveți un Incident Response Retainer (IRR) cu o echipă de profesioniști de încredere, care poate fi contactată 24/7/365, și aceștia pot lua măsuri imediate care vor preveni pierderea de date, vor reduce sau elimina plata răscumpărării și vă vor ajuta să treceți peste orice răspundere legală. Din cunoștințele noastre, cu informațiile pe care le avem la momentul publicării acestui articol, echipa de experți ar face primul pas pentru a recupera software-ul. computer infectat prin deconectarea acestuia de la internet și eliminarea oricărui dispozitiv conectat. În același timp, această echipă vă va ajuta să contactați autoritățile locale din țara dumneavoastră. Pentru rezidenții și întreprinderile din SUA, estebiroul local al FBIiar celCentrul de reclamații privind infracțiunile pe internet (IC3). Pentru a raporta un atac ransomware, trebuie să adunați toate informațiile pe care le puteți despre acesta, inclusiv:

• Capturi de ecran ale notei de răscumpărare
• Comunicații cu actorii ransomware (dacă îi aveți)
• O mostră dintr-un fișier criptat

Cu toate acestea, dacă nu aveți un IRP sau IRR, puteți încăcontactați profesioniștii în eliminarea și recuperarea ransomware-ului. Acesta este cel mai bun curs de acțiune și crește foarte mult șansele de a elimina cu succes ransomware-ul, de a restabili datele și de a preveni atacurile viitoare. Vă recomandămlăsați fiecare mașină infectată așa cum suntși sunați la unserviciu de recuperare de urgență a ransomware.Repornirea sau oprirea sistemului poate compromite procesul de recuperare. Capturarea memoriei RAM a unui sistem activ poate ajuta la obținerea cheii de criptare, iar capturarea unui fișier dropper poate fi realizată prin inginerie inversă și poate duce la decriptarea datelor sau la înțelegerea modului în care funcționează.

Ce NU trebuie să faceți pentru a vă recupera de la un atac ransomware BlackSuit

Trebuie să vănu ștergeți ransomware-ulși păstrați toate dovezile atacului. Asta este important pentrucriminalistica digitalaastfel încât experții să poată urmări până la grupul de hackeri și să-i identifice. Autoritățile pot folosi datele de pe sistemul dumneavoastră infectatinvestigați atacul și găsiți vinovatul.O investigație de atac cibernetic nu este diferită de orice altă anchetă penală: are nevoie de dovezi pentru a-i găsi pe atacatori.

1. Contactarea furnizorului dvs. de răspuns la incident

Un răspuns la incident cibernetic este procesul de răspuns și de gestionare a unui incident de securitate cibernetică. An Incident Response Retainer este un acord de servicii cu un furnizor de securitate cibernetică care permite organizațiilor să obțină ajutor extern cu incidentele de securitate cibernetică. Oferă organizațiilor o formă structurată de expertiză și asistență printr-un partener de securitate, permițându-le să răspundă rapid și eficient în timpul unui incident cibernetic. Natura și structura specifică a unui reținător de răspuns la incident va varia în funcție de furnizor și de cerințele organizației. O bună menținere a răspunsului la incident ar trebui să fie robustă, dar flexibilă, oferind servicii dovedite pentru a îmbunătăți postura de securitate pe termen lung a unei organizații.Dacă contactați furnizorul dvs. de servicii IR, acesta va avea grijă de orice altceva.Cu toate acestea, dacă decideți să eliminați ransomware-ul și să recuperați fișierele cu echipa IT, atunci puteți urma următorii pași.

2. Identificați infecția ransomware

Putețiidentificați ce ransomwarev-ați infectat mașina cu extensia de fișier (unele ransomware folosesc extensia de fișier ca nume) sau va fi pe nota de răscumpărare. Cu aceste informații, puteți căuta o cheie publică de decriptare. Puteți verifica și tipul de ransomware după IOC-urile sale. Indicatorii de compromis (IOC) sunt indicii digitale pe care profesioniștii în securitate cibernetică le folosesc pentru a identifica compromisurile sistemului și activitățile rău intenționate într-o rețea sau un mediu IT. Ele sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile oferă, de asemenea, dovezi la ce avea acces un atacator dacă s-a infiltrat în rețea.

3. Eliminați ransomware-ul și eliminați kiturile de exploatare

Înainte de a vă recupera datele, trebuie să vă garantați că dispozitivul dumneavoastră nu conține ransomware și că atacatorii nu pot face un nou atac prin truse de exploatare sau alte vulnerabilități. Un serviciu de eliminare a ransomware-ului poate șterge ransomware-ul, poate crea un document criminalistic pentru investigare, poate elimina vulnerabilitățile și poate recupera datele. Utilizați software anti-malware/anti-ransomware pentru a pune în carantină și a elimina software-ul rău intenționat.

Important:Contactând serviciile de eliminare a ransomware-ului, vă puteți asigura că aparatul și rețeaua dvs. nu au nicio urmă de ransomware BlackSuit. De asemenea, aceste servicii vă pot corecta sistemul, prevenind noile atacuri ransomware.

4. Utilizați o copie de rezervă pentru a restaura datele

Backup-urile sunt cea mai eficientă modalitate de a recupera datele. Asigurați-vă că păstrați copii de rezervă zilnice sau săptămânale, în funcție de utilizarea datelor.

5. Contactați un serviciu de recuperare a ransomware

Dacă nu aveți o copie de rezervă sau aveți nevoie de ajutor pentru a elimina ransomware-ul și a elimina vulnerabilitățile, contactați un serviciu de recuperare de date. Plata răscumpărării nu garantează că datele dumneavoastră vă vor fi returnate. Singura modalitate garantată în care puteți restaura fiecare fișier este dacă aveți o copie de rezervă a acestuia. Dacă nu o faceți, serviciile de recuperare a datelor ransomware vă pot ajuta să decriptați și să recuperați fișierele. Experții SalvageData vă pot restaura în siguranță fișierele și pot împiedica ransomware-ul BlackSuit să vă atace din nou rețeaua. Contactați experții noștri 24/7 pentru serviciul de recuperare de urgență.

Preveniți un atac ransomware

Prevenirea ransomware-ului este cea mai bună soluție pentru securitatea datelor. este mai ușor și mai ieftin decât recuperarea după ele. Ransomware-ul BlackSuit poate costa viitorul afacerii dvs. și chiar poate să-i închidă porțile. Acestea sunt câteva sfaturi pentru a vă asigura că putețievita atacurile ransomware:

• Utilizați software antivirus de încredere.Instalați și actualizați în mod regulat software antivirus de renume pe sistemul dvs. Acest lucru poate ajuta la detectarea și blocarea amenințărilor ransomware cunoscute, inclusiv BlackSuit.
• Fiți precauți cu atașamentele de e-mail.Fiți precaut când deschideți atașamente de e-mail, mai ales dacă acestea provin din surse necunoscute sau suspecte. Evitați să deschideți atașamente la care nu vă așteptați sau care par suspecte.
• Fiți atenți la link-urile suspecte.Evitați să faceți clic pe linkuri suspecte, în special în e-mailuri, reclame pop-up sau pe site-uri web necunoscute. Aceste link-uri pot duce la site-uri web rău intenționate care pot distribui ransomware precum BlackSuit.
• Păstrați sistemul de operare și software-ul la zi.Actualizați-vă în mod regulat sistemul de operare, browserele web și alte aplicații software. Actualizările software includ adesea corecții de securitate care pot ajuta la protejarea împotriva vulnerabilităților cunoscute pe care le-ar putea exploata ransomware.
• Activați actualizările automate.Activați actualizările automate pentru sistemul dvs. de operare și aplicațiile software. Acest lucru vă asigură că primiți cele mai recente corecții de securitate și actualizări fără intervenție manuală.
• Faceți copii de rezervă ale fișierelor în mod regulat.Salvați în mod regulat fișierele importante pe un hard disk extern, stocare în cloud sau într-o altă locație sigură. În cazul unui atac ransomware, să aveți copii de siguranță vă poate ajuta să vă restaurați fișierele fără a fi nevoie să plătiți răscumpărarea.
• Educați-vă pe dumneavoastră și pe angajații dvs.Educați-vă pe dvs. și pe angajații dvs. despre practicile online sigure, cum ar fi evitarea descărcărilor suspecte, prudență cu atașamentele de e-mail și recunoașterea încercărilor de phishing. Conștientizarea și vigilența pot contribui în mare măsură în prevenirea infecțiilor cu ransomware.

Urmând aceste măsuri preventive, puteți reduce riscul ca ransomware-ul BlackSuit să vă infecteze sistemul și să vă protejați fișierele împotriva criptării.