Ragnar Locker Ransomware: Ghidul complet

Ragnar Locker este o familie de ransomware care a fost în acțiune cel puțin din decembrie 2019. Este cunoscut pentru că vizează organizații mari și încearcă să stocheze cantități mari de criptomonede de la victimele sale. Unele caracteristici cheie ale ransomware-ului Ragnar Locker includ: Grupul Ragnar Locker este cunoscut că folosește o tactică dublă de extorcare, în care plata răscumpărării nu este doar pentru recuperarea fișierelor afectate, ci și pentru a preveni eliberarea informațiilor furate către public. În timp ce unii operatori de ransomware impun reguli voluntare împotriva țintirii guvernului, organizațiilor militare, operatorilor de asistență medicală, precum și furnizorii de conducte critice (centrale de energie electrică, spitale și infrastructură). actorul de amenințare Ragnar Locker nu are o astfel de aversiune. Ransomware-ul Ragnar Locker a fost folosit pentru a ataca o varietate de organizații, inclusiv companii de energie, companii aeriene și mărci de modă de lux.

Experții SalvageData recomandă măsuri proactive de securitate a datelor, cum ar fi backup-uri regulate, practici puternice de securitate cibernetică și menținerea la zi a software-ului, pentru a proteja împotriva atacurilor ransomware. Și, euÎn cazul unui atac ransomware, contactați-neexperți în recuperare de ransomwareimediat.

Ce fel de malware este RagnarLocker?

Ragnar Locker este un tip de ransomware care afectează dispozitivele care rulează sisteme de operare Microsoft Windows. Este conceput pentru a cripta datele și a solicita o plată de răscumpărare de la victimă pentru a-și recupera fișierele. Grupul Ragnar Locker este cunoscut că folosește o tactică dublă de extorcare, în care plata răscumpărării nu este doar pentru recuperarea fișierelor afectate, ci și pentru a preveni eliberarea informațiilor furate către public. Atacatorii pot folosi, de asemenea, parole slabe sau acreditări furate pentru a obține acces la sistem. Malware-ul folosește și tehnici avansate de evaziune a apărării pentru a ocoli software-ul antivirus.

Tot ce știm despre Ragnar Locker Ransomware

Nume confirmat

• Virusul Ragnar Locker

Tipul de amenințare

• Ransomware
• Criptovirus
• Dulapul de fișiere
• Extorcare dublă

Extensie de fișiere criptate

• Extensia fișierului variază pe mașinile infectate

Mesaj care solicită răscumpărare

• Numele fișierului cu nota de răscumpărare depinde de extensie

Nume de detectare

• AvastWin32:RansomX-gen [Ransom]
• EmsisoftGeneric.Ransom.Ragnar.91E669A1 (B)
• KasperskyTrojan-Ransom.Win32.RagnarLocker.a
• SophosTroj/Lothlock-A
• MicrosoftRăscumpărare:Win32/RagnarLocker.BM!MSR

Metode de distribuire

• Malvertising
• Escrocherii online
• Descărcări drive-by

Consecințele

• Tactică de extorcare dublă: Aici atacatorul exfiltrează mai întâi datele sensibile, apoi declanșează atacul de criptare, amenințând că va scurge datele furate dacă ținta refuză să plătească răscumpărarea
• Algoritm de criptare: Ragnar Locker utilizează algoritmul de criptare Salsa20 cu o matrice personalizată, care este completată cu chei generate plasate într-o ordine rearanjată
• Extensii de fișiere aleatorii: Ragnar Locker randomizează extensiile de fișiere per utilizator, regăsind valoarea numelui computerului și trecând-o la următoarea bucată de cod

Există un decriptor gratuit disponibil?

Nu.Nu există un decriptor public cunoscut pentru ransomware-ul Ragnar Locker disponibil în acest moment.

Ce sunt IOC-urile ransomware-ului Ragnar Locker?

Indicatorii de compromis (IOC) sunt artefacte observate într-o rețea sau într-un sistem de operare care indică o intruziune a computerului cu mare încredere. IOC-urile pot fi utilizate pentru detectarea timpurie a viitoarelor încercări de atac folosind sisteme de detectare a intruziunilor și software antivirus. Pentru a determina dacă sistemul sau rețeaua computerului dvs. a fost infectată de ransomware-ul Ragnar Locker, puteți căuta următoarele semne:

• Fișiere criptate. Verificați dacă fișierele dvs. au fost criptate și sunt inaccesibile. Ransomware-ul Ragnar Locker criptează fișierele și le adaugă extensii de fișiere specifice, făcându-le inutilizabile fără cheia de decriptare.
• Notă de răscumpărare. Căutați o notă de răscumpărare lăsată de atacatori. Ragnar Locker lasă de obicei o notă care explică situația și oferă instrucțiuni despre cum să plătească răscumpărarea.
• Comportament neobișnuit al sistemului. Acordați atenție oricărui comportament neobișnuit al computerului dvs., cum ar fi performanța lentă, blocările frecvente sau mesajele pop-up neașteptate.
• Activitate suspectă în rețea. Ragnar Locker exploatează adesea servicii expuse, cum ar fi Remote Desktop Protocol (RDP) pentru a obține acces la sistem. Monitorizați-vă rețeaua pentru orice activitate suspectă legată de RDP sau alte conexiuni de rețea neobișnuite.

Notă de răscumpărare Ragnar Locker

Nota de răscumpărare asociată cu ransomware-ul Ragnar Locker apare de obicei pe ecranul victimei după procesul de criptare. Nota poate include numele organizației vizate și afirmă că toate fișierele au fost criptate și pot fi decriptate numai folosind instrumente sau chei specifice. Acesta este un exemplu de nota de răscumpărare Ragnar Locker:

Dacă îți dai seama că ești o victimă a ransomware-ului, contactând experții în eliminarea ransomware-ului SalvageData îți oferă un serviciu sigur de recuperare a datelor și eliminarea ransomware-ului după un atac.

Cum se răspândește ransomware-ul Ragnar Locker

Ransomware-ul Ragnar Locker exploatează diverse vulnerabilități pentru a infecta sistemele, inclusiv:

• Servicii expuse: Ragnar Locker exploatează de obicei servicii expuse, cum ar fi Remote Desktop Protocol (RDP) pentru a obține acces la sistem.
• Parole slabe: Atacatorii pot folosi forța brută pentru a ghici parole slabe sau pot folosi acreditări furate pentru a obține acces la sistem.
• Tehnici de apărare-evaziune: Ragnar Locker folosește tehnici avansate de evaziune de apărare pentru a ocoli software-ul antivirus.

Cum funcționează ransomware-ul Ragnar Locker?

Ransomware-ul Ragnar Locker utilizează tehnici avansate de evaziune a apărării pentru a ocoli software-ul antivirus. Ransomware-ul Ragnar Locker funcționează urmând un proces specific care îi permite să cripteze fișierele și să solicite o plată de răscumpărare de la victimă pentru a-și recupera fișierele. Iată o prezentare generală a modului în care funcționează ransomware-ul Ragnar Locker:

Exploatarea serviciilor expuse

Ragnar Locker exploatează de obicei servicii expuse, cum ar fi Remote Desktop Protocol (RDP) pentru a obține acces la sistem.

Obținerea accesului la sistem

Odată ce atacatorii obțin acces la sistem, ei încearcă să obțină privilegii mai mari și să se deplaseze lateral în rețea.

Citește și:Cyclops Ransomware: Ghidul complet

Furtul de fișiere sensibile

Atacatorii exfiltrează date sensibile din sistemul vizat.

Declanșarea atacului de criptare

După furtul fișierelor sensibile, atacatorii inițiază procesul de criptare, criptând fișierele victimei și făcându-le inaccesibile.

Afișează nota de răscumpărare

Atacatorii afișează o notă de răscumpărare pe ecranul victimei, explicând situația și oferind instrucțiuni despre cum să plătească răscumpărarea.

Amenință cu scurgerea datelor furate

În tactica dublei de extorcare, atacatorii amenință că vor da publicului datele furate dacă victima refuză să plătească răscumpărarea.

Nu plătiți răscumpărarea!Victimele atacurilor ransomware Ragnar Locker sunt sfătuite să raporteze incidentul forțelor de ordine și să solicite asistența unui profesionist de renume în securitate cibernetică.

Cum să gestionați un atac ransomware Ragnar Locker

Important:Primul pas după identificarea IOC-urilor Ragnar Locker este să recurgeți la Planul de răspuns la incident (IRP). În mod ideal, aveți un Incident Response Retainer (IRR) cu o echipă de profesioniști de încredere, care poate fi contactată 24/7/365, și aceștia pot lua măsuri imediate care vor preveni pierderea de date, vor reduce sau elimina plata răscumpărării și vă vor ajuta să treceți peste orice răspundere legală. Din cunoștințele noastre, cu informațiile pe care le avem la momentul publicării acestui articol, echipa de experți ar face primul pas pentru a recupera software-ul. computer infectat prin deconectarea acestuia de la internet și eliminarea oricărui dispozitiv conectat.

În același timp, această echipă vă va ajuta să contactați autoritățile locale din țara dumneavoastră. Pentru rezidenții și întreprinderile din SUA, estebiroul local al FBIiar celCentrul de reclamații privind infracțiunile pe internet (IC3). Pentru a raporta un atac ransomware, trebuie să adunați toate informațiile pe care le puteți despre acesta, inclusiv:

• Capturi de ecran ale notei de răscumpărare
• Comunicații cu actorii ransomware (dacă îi aveți)
• O mostră dintr-un fișier criptat

Cu toate acestea, dacă nu aveți un IRP sau IRR, puteți încăcontactați profesioniștii în eliminarea și recuperarea ransomware-ului. Acesta este cel mai bun curs de acțiune și crește foarte mult șansele de a elimina cu succes ransomware-ul, de a restabili datele și de a preveni atacurile viitoare. Vă recomandămlăsați fiecare mașină infectată așa cum suntși sunați la unserviciu de recuperare de urgență a ransomware.Repornirea sau oprirea sistemului poate compromite procesul de recuperare. Capturarea memoriei RAM a unui sistem activ poate ajuta la obținerea cheii de criptare, iar capturarea unui fișier dropper poate fi realizată prin inginerie inversă și poate duce la decriptarea datelor sau la înțelegerea modului în care funcționează.

Ce NU trebuie să faceți pentru a vă recupera de la un atac ransomware Ragnar Locker

Trebuie să vănu ștergeți ransomware-ulși păstrați toate dovezile atacului. Asta este important pentrucriminalistica digitalaastfel încât experții să poată urmări până la grupul de hackeri și să-i identifice. Autoritățile pot folosi datele de pe sistemul dumneavoastră infectatinvestigați atacul și găsiți vinovatul.O investigație de atac cibernetic nu este diferită de orice altă anchetă penală: are nevoie de dovezi pentru a-i găsi pe atacatori.

1. Contactarea furnizorului dvs. de răspuns la incident

Un răspuns la incident cibernetic este procesul de răspuns și de gestionare a unui incident de securitate cibernetică. An Incident Response Retainer este un acord de servicii cu un furnizor de securitate cibernetică care permite organizațiilor să obțină ajutor extern cu incidentele de securitate cibernetică. Oferă organizațiilor o formă structurată de expertiză și asistență printr-un partener de securitate, permițându-le să răspundă rapid și eficient în timpul unui incident cibernetic. Natura și structura specifică a unui reținător de răspuns la incident va varia în funcție de furnizor și de cerințele organizației. O bună menținere a răspunsului la incident ar trebui să fie robustă, dar flexibilă, oferind servicii dovedite pentru a îmbunătăți postura de securitate pe termen lung a unei organizații.Dacă contactați furnizorul dvs. de servicii IR, acesta va avea grijă de orice altceva.Cu toate acestea, dacă decideți să eliminați ransomware-ul și să recuperați fișierele cu echipa IT, atunci puteți urma următorii pași.

2. Identificați infecția ransomware

Putețiidentificați ce ransomwarev-ați infectat mașina cu extensia de fișier (unele ransomware folosesc extensia de fișier ca nume) sau va fi pe nota de răscumpărare. Cu aceste informații, puteți căuta o cheie publică de decriptare. Puteți verifica și tipul de ransomware după IOC-urile sale. Indicatorii de compromis (IOC) sunt indicii digitale pe care profesioniștii în securitate cibernetică le folosesc pentru a identifica compromisurile sistemului și activitățile rău intenționate într-o rețea sau un mediu IT. Ele sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile oferă, de asemenea, dovezi la ce avea acces un atacator dacă s-a infiltrat în rețea.

3. Eliminați ransomware-ul și eliminați kiturile de exploatare

Înainte de a vă recupera datele, trebuie să vă garantați că dispozitivul dumneavoastră nu conține ransomware și că atacatorii nu pot face un nou atac prin truse de exploatare sau alte vulnerabilități. Un serviciu de eliminare a ransomware-ului poate șterge ransomware-ul, poate crea un document criminalistic pentru investigare, poate elimina vulnerabilitățile și poate recupera datele. Utilizați software anti-malware/anti-ransomware pentru a pune în carantină și a elimina software-ul rău intenționat.

Important:Contactând serviciile de eliminare a ransomware-ului, vă puteți asigura că aparatul și rețeaua dvs. nu au nicio urmă de ransomware-ul Ragnar Locker. De asemenea, aceste servicii vă pot corecta sistemul, prevenind noile atacuri ransomware.

4. Utilizați o copie de rezervă pentru a restaura datele

Backup-urile sunt cea mai eficientă modalitate de a recupera datele. Asigurați-vă că păstrați copii de rezervă zilnice sau săptămânale, în funcție de utilizarea datelor.

5. Contactați un serviciu de recuperare a ransomware

Dacă nu aveți o copie de rezervă sau aveți nevoie de ajutor pentru a elimina ransomware-ul și a elimina vulnerabilitățile, contactați un serviciu de recuperare de date. Plata răscumpărării nu garantează că datele dumneavoastră vă vor fi returnate. Singura modalitate garantată în care puteți restaura fiecare fișier este dacă aveți o copie de rezervă a acestuia. Dacă nu o faceți, serviciile de recuperare a datelor ransomware vă pot ajuta să decriptați și să recuperați fișierele. Experții SalvageData vă pot restaura fișierele în siguranță și pot împiedica ransomware-ul Ragnar Locker să vă atace din nou rețeaua. Contactați experții noștri 24/7 pentru serviciul de recuperare de urgență.

Preveniți un atac ransomware

Prevenirea ransomware-ului este cea mai bună soluție pentru securitatea datelor. este mai ușor și mai ieftin decât recuperarea după ele. Ransomware-ul Ragnar Locker poate costa viitorul afacerii dvs. și chiar poate să-i închidă porțile. Acestea sunt câteva sfaturi pentru a vă asigura că putețievita atacurile ransomware:

• Instalați software antivirus și anti-malware.
• Folosiți soluții de securitate cibernetică fiabile.
• Utilizați parole puternice și sigure.
• Păstrați software-ul și sistemele de operare la zi.
• Implementați firewall-uri pentru protecție suplimentară.
• Creați un plan de recuperare a datelor.
• Programați în mod regulat backup-uri pentru a vă proteja datele.
• Fiți atenți la atașamentele de e-mail și la descărcările din surse necunoscute sau suspecte.
• Verificați siguranța anunțurilor înainte de a da clic pe ele.
• Accesați site-uri web numai din surse de încredere.