Snatch Ransomware: Ghid complet

Snatch nu este o amenințare nouă, această familie de ransomware și variantele sale au atacat organizațiile și întreprinderile din 2019. Este un malware cu risc ridicat care blochează și exfiltrează datele victimelor. Hackerii cer apoi o plată de răscumpărare în schimbul cheii de decriptare și o „garanție” că nu vor scurge datele de pe site-ul lor Tor, această tactică este cunoscută cadubla extorcare.Ransomware-ul Snatch profită de faptul că Windows nu rulează mecanisme de siguranță pe dispozitivele terminale atunci când sistemul repornește în modul Safe. Apoi, pentru a evita detectarea, malware-ul forțează mașinile infectate să repornească în modul Safe.

Ce fel de malware este Snatch?

Snatch ransomware este un tip de malware care este deosebit de furtiv. Utilizează instrumente disponibile public și încorporate pentru activitățile sale rău intenționate și se știe că țintește afaceri dintr-o serie de sectoare, inclusiv asistența medicală, finanțe și comerțul cu amănuntul. Ransomware-ul Snatch este, de asemenea, cunoscut că exfiltrează datele sensibile și critice ale victimelor înainte de a le cripta și apoi amenință că le va scurge dacă nu plătesc răscumpărarea. Malware-ul generează o pereche de chei RSA-2048 unică pe computerul victimei, care este folosită pentru a cripta fișierele cu algoritmul de criptare simetrică AES-256. Cheia publică este apoi criptată folosind o cheie publică codificată inclusă în malware și trimisă la serverul atacatorilor. Atacatorii își folosesc apoi cheia privată pentru a decripta cheia publică a victimei și a trimite înapoi o cheie de decriptare care poate fi folosită pentru a recupera fișierele criptate.

Tot ce știm despre ransomware-ul Snatch

Această listă conține informațiile de bază despre noua tulpină de ransomware cunoscută sub numele de Snatch.Nume confirmat

• Snatch virus

Tipul de amenințare

• Ransomware
• Malware ascuns
• Criptovirus
• Dulapul de fișiere
• Extorcare dublă

Extensie de fișiere criptate

• .smulge
• .şarpe
• .voi
• .google
• .dglnl
• .ohwqg
• .wvtr0
• .hceem

Mesaj care solicită răscumpărare

• Readme_Restore_Files.txt
• Restore_JIMM_Files.txt
• RESTORE_DGLNL_FILES.txt
• RESTORE_HCEEM_DATA.txt
• RESTORE_WVTR0_FILES.txt
• DECRYPT_GOOGL_FILES.txt
• DECRYPT_OHWQG_FILES.txt

Nume de detectare

• AvastWin64:Evo-gen [Trj]
• AVGWin64:Evo-gen [Trj]
• EmsisoftGeneric.Ransom.Snatch.5D562140 (B)
• KasperskyTrojan.Win32.DelShad.ea
• MalwarebytesGeneric.Malware/Suspicios
• MicrosoftVirTool:MSIL/CryptInject

Familie, tip și variantă de ransomwareExistă multe variante ale ransomware-ului Snatch, dar unele dintre ele folosesc propria lor metodă de criptare și extensii pentru fișierele criptate.Metode de distribuire

• E-mailuri de phishing
• Atașamente de e-mail rău intenționate
• Inginerie socială

Consecințele

• Exfiltrarea datelor
• Criptarea fișierelor

Există un decriptor gratuit disponibil?

Nu.Nu există un decriptor public cunoscut pentru ransomware-ul Snatch disponibil în acest moment.

Ce sunt IOC-urile ransomware-ului Snatch?

Indicatorii de compromis (IOC) sunt artefacte observate într-o rețea sau într-un sistem de operare care indică o intruziune a computerului cu mare încredere. IOC-urile pot fi utilizate pentru detectarea timpurie a viitoarelor încercări de atac folosind sisteme de detectare a intruziunilor și software antivirus. Indicatorii de compromis (IOC) ai ransomware-ului Snatch includ:

• Imposibilitatea de a deschide fișierele stocate pe computer.După infectarea unui sistem, ransomware-ul Snatch criptează fișierele victimei și le face inaccesibile.
• Fișierele funcționale anterior nu mai sunt accesibile.Ransomware-ul Snatch înlocuiește fișierele originale cu versiuni criptate care pot fi decriptate doar cu o cheie specifică cunoscută doar de atacatori.
• Mesaje care solicită plata.După criptarea fișierelor victimei, ransomware-ul Snatch afișează un mesaj care solicită plata în schimbul unei chei de decriptare care îi va permite victimei să-și acceseze din nou fișierele.
• Sistemul repornește în modul Safe.Se știe că ransomware-ul Snatch repornește sistemele infectate în modul Safe pentru a ocoli antivirusul și alte programe de securitate.

Cum găsiți nota de răscumpărare a ransomware-ului Snatch

Nota de răscumpărare Snatch este scurtă și explică pașii pe care trebuie să îi ia victimele pentru a-și recupera datele. Nota afirmă că cea mai ușoară cale de întoarcere către compania care funcționează normal este să plătească răscumpărarea.Nu plătiți răscumpărarea și nu negociați cu actorii amenințărilor. Contactați imediat experții SalvageData pentru a vă restaura fișierele și pentru a raporta ransomware-ul autorităților locale. Exemplu de nota de răscumpărare Snatch:

Cum se răspândește ransomware-ul Snatch

Snatch ransomware este un malware periculos care poate infecta un computer sau o rețea în mai multe moduri, inclusiv:

• E-mailuri de tip spam și phishing care se prefac a fi afaceri legitime. Escrocii trimit e-mailuri care par a fi de la companii legitime, cum ar fi PayPal, UPS, FedEx și altele. Aceste e-mailuri conțin link-uri sau atașamente care vă pun în pericol datele și rețeaua. Un clic pe un link sau o descărcare a unui atașament poate bloca pe toată lumea din rețea.

• Inginerie socială.Este un tip de atac cibernetic care se bazează pe interacțiunea umană pentru a păcăli victimele să divulge informații sensibile, să facă clic pe linkuri sau atașamente sau să întreprindă alte acțiuni care compromit securitatea. Scopul atacurilor de inginerie socială este de a exploata psihologia și comportamentul uman pentru a obține acces la informații sau sisteme sensibile. Atacatorii pot uzurpa identitatea unei persoane de încredere, cum ar fi un reprezentant al unei bănci sau un tehnician IT, sau pot crea un sentiment de urgență sau teamă pentru a presă victima să ia măsuri.

Cum infectează ransomware-ul Snatch un computer sau o rețea

Ransomware-ul Snatch este cunoscut pentru capacitatea sa de a ocoli software-ul antivirus prin repornirea computerului infectat în modul Safe, unde majoritatea software-ului de securitate nu rulează. Odată ce Snatch infectează un sistem, începe să cripteze fișierele și adaugă o extensie „.snatch” sau variante la numele fișierelor. Atacatorii cer apoi plata în schimbul unei chei de decriptare care va restabili accesul la fișierele criptate. Pe lângă criptarea fișierelor, ransomware-ul Snatch este cunoscut și pentru că fură date sensibile, cum ar fi acreditările de conectare și informații financiare, de la sistemele infectate.

Cum să gestionați un atac ransomware Snatch

Important:Primul pas după identificarea IOC-urilor Snatch este să recurgeți la Planul de răspuns la incident (IRP). În mod ideal, aveți un Incident Response Retainer (IRR) cu o echipă de profesioniști de încredere, care poate fi contactată 24/7/365, și aceștia pot lua măsuri imediate care vor preveni pierderea de date, vor reduce sau elimina plata răscumpărării și vă vor ajuta să treceți peste orice răspundere legală. Din cunoștințele noastre, cu informațiile pe care le avem la momentul publicării acestui articol, echipa de experți ar face primul pas pentru a recupera software-ul. computer infectat prin eliminarea oricărui dispozitiv conectat. În același timp, această echipă vă va ajuta să contactați autoritățile locale din țara dumneavoastră. Pentru rezidenții și întreprinderile din SUA, estebiroul local al FBIiar celCentrul de reclamații privind infracțiunile pe internet (IC3). Pentru a raporta un atac ransomware, trebuie să adunați toate informațiile pe care le puteți despre acesta, inclusiv:

• Capturi de ecran ale notei de răscumpărare
• Comunicații cu actorii Snatch (dacă îi aveți)
• O mostră dintr-un fișier criptat

Cu toate acestea, dacă nu aveți un IRP sau IRR, puteți încăcontactați profesioniștii în eliminarea și recuperarea ransomware-ului. Acesta este cel mai bun curs de acțiune și crește foarte mult șansele de a elimina cu succes ransomware-ul, de a restabili datele și de a preveni atacurile viitoare. Vă recomandămlăsați fiecare mașină infectată așa cum suntși sunați la unserviciu de recuperare de urgență a ransomware.Repornirea sau oprirea sistemului poate compromite procesul de recuperare. Capturarea memoriei RAM a unui sistem activ poate ajuta la obținerea cheii de criptare, iar capturarea unui fișier dropper poate fi realizată prin inginerie inversă și poate duce la decriptarea datelor sau la înțelegerea modului în care funcționează.

Ce NU trebuie să faceți pentru a vă recupera de la un atac ransomware Snatch

Trebuie să vănu ștergeți ransomware-ulși păstrați toate dovezile atacului. Asta este important pentrucriminalistica digitalaastfel încât experții să poată urmări până la grupul de hackeri și să-i identifice. Autoritățile pot folosi datele de pe sistemul dumneavoastră infectatinvestigați atacul și găsiți vinovatul.O investigație de atac cibernetic nu este diferită de orice altă anchetă penală: are nevoie de dovezi pentru a-i găsi pe atacatori.

LEGATE:Akira Ransomware: Ghid complet

1. Contactarea furnizorului dvs. de răspuns la incident

Un răspuns la incident cibernetic este procesul de răspuns și de gestionare a unui incident de securitate cibernetică. An Incident Response Retainer este un acord de servicii cu un furnizor de securitate cibernetică care permite organizațiilor să obțină ajutor extern cu incidentele de securitate cibernetică. Oferă organizațiilor o formă structurată de expertiză și asistență prin intermediul unui partener de securitate, permițându-le să răspundă rapid și eficient în cazul unui incident cibernetic. Natura și structura specifică a unei mențiuni de răspuns la incident va varia în funcție de furnizor și de cerințele organizației. O bună menținere a răspunsului la incident ar trebui să fie robustă, dar flexibilă, oferind servicii dovedite pentru a îmbunătăți postura de securitate pe termen lung a unei organizații. Dacă contactați furnizorul dvs. de servicii IR, atunci acesta se va ocupa de orice altceva. Cu toate acestea, dacă decideți să eliminați ransomware-ul și să recuperați fișierele cu echipa IT, atunci puteți urma următorii pași.

2. Identificați infecția ransomware

Putețiidentificați ce ransomwarev-ați infectat mașina cu extensia de fișier (unele ransomware folosesc extensia de fișier ca nume) sau va fi pe nota de răscumpărare. Cu aceste informații, puteți căuta o cheie publică de decriptare. Puteți verifica și tipul de ransomware după IOC-urile sale. Indicatorii de compromis (IOC) sunt indicii digitale pe care profesioniștii în securitate cibernetică le folosesc pentru a identifica compromisurile sistemului și activitățile rău intenționate într-o rețea sau un mediu IT. Ele sunt în esență versiuni digitale ale dovezilor lăsate la locul crimei, iar potențialele IOC includ trafic neobișnuit de rețea, autentificări privilegiate ale utilizatorilor din țări străine, solicitări DNS ciudate, modificări ale fișierelor de sistem și multe altele. Când un IOC este detectat, echipele de securitate evaluează posibilele amenințări sau validează autenticitatea acestuia. IOC-urile oferă, de asemenea, dovezi la ce avea acces un atacator dacă s-a infiltrat în rețea.

3. Eliminați ransomware-ul și eliminați kiturile de exploatare

Înainte de a vă recupera datele, trebuie să vă garantați că dispozitivul dumneavoastră nu conține ransomware și că atacatorii nu pot face un nou atac prin truse de exploatare sau alte vulnerabilități. Un serviciu de eliminare a ransomware-ului poate șterge ransomware-ul, poate crea un document criminalistic pentru investigare, poate elimina vulnerabilitățile și poate recupera datele. Utilizați software anti-malware/anti-ransomware pentru a pune în carantină și a elimina software-ul rău intenționat.Important:Contactând serviciile de eliminare a ransomware-ului, vă puteți asigura că aparatul și rețeaua dvs. nu au nicio urmă de ransomware-ul Snatch. De asemenea, aceste servicii vă pot corecta sistemul, prevenind noi atacuri.

4. Utilizați o copie de rezervă pentru a restaura datele

Backup-urile sunt cea mai eficientă modalitate de a recupera datele. Asigurați-vă că păstrați copii de rezervă zilnice sau săptămânale, în funcție de utilizarea datelor.

5. Contactați un serviciu de recuperare a ransomware

Dacă nu aveți o copie de rezervă sau aveți nevoie de ajutor pentru eliminarea ransomware-ului și eliminarea vulnerabilităților, ar trebui să contactați un serviciu de recuperare de date. Plata răscumpărării nu garantează că datele dumneavoastră vă vor fi returnate. Singura modalitate garantată în care puteți restaura fiecare fișier este dacă aveți o copie de rezervă a acestuia. Dacă nu o faceți, serviciile de recuperare a datelor ransomware vă pot ajuta să decriptați și să recuperați fișierele. Experții SalvageData vă pot restaura fișierele în siguranță și pot preveni ca ransomware-ul Snatch să vă atace din nou rețeaua. De asemenea, vă oferim unraport criminalistic digitalpe care îl puteți folosi pentru investigații suplimentare și pentru a înțelege cum s-a produs atacul cibernetic. Contactați experții noștri 24/7 pentru serviciul de recuperare de urgență.

Preveniți atacul ransomware Snatch

Prevenirea ransomware-ului este cea mai bună soluție pentru securitatea datelor. este mai ușor și mai ieftin decât recuperarea după ele. Ransomware-ul Snatch poate costa viitorul afacerii dvs. și chiar poate închide porțile. Acestea sunt câteva sfaturi pentru a vă asigura că putețievita atacurile ransomware:

• Instalați software antivirus și anti-malware.
• Utilizați parole puternice și sigure.
• Aplicați autentificarea cu mai mulți factori (MFA).
• Păstrați software-ul și sistemele de operare la zi.
• Implementați firewall-uri.
• Creați un plan de recuperare a datelor.
• Copii de rezervă programate în mod regulat ale datelor dvs.
• Evitați atașamentele de e-mail și descărcările din surse necunoscute sau suspecte.
• Accesați site-uri web numai din surse de încredere.

Prin aderarea la aceste practici, vă puteți consolida securitatea online și vă puteți proteja de potențiale amenințări.