El equipo Daixin es un grupo de ransomware que surgió como una amenaza formidable, apuntando principalmente al sector de la salud y causando interrupciones significativas desde junio de 2022. Su método, particularmente peligroso, implica implementar ransomware para cifrar servidores esenciales que albergan información confidencial, como información de salud del paciente (PHI). Los hospitales, como lugares vulnerables que albergan datos críticos de pacientes, se convierten en objetivos principales. Los atacantes aprovechan el volumen de información confidencial, el uso extensivo de dispositivos conectados y las posibles interrupciones en tratamientos cruciales como palanca para exigir rescates. La atención al paciente se ve directamente afectada, lo que convierte al sector sanitario en un objetivo atractivo y lucrativo. Las motivaciones del grupo van más allá de la disrupción: la información sobre la salud del paciente alcanza precios elevados en la web oscura, lo que proporciona al equipo Daixin un flujo de ingresos adicional.
Los expertos de SalvageData recomiendan medidas proactivas de seguridad de datos, como copias de seguridad periódicas, prácticas sólidas de ciberseguridad y mantener el software actualizado, para protegerse contra ataques de ransomware. Y,En caso de un ataque de ransomware, comuníquese con nuestros expertos en recuperación de ransomware de inmediato.
Todo lo que sabemos sobre Daixin Ransomware
Nombre confirmado
- virus daixin
Tipo de amenaza
Lectura sugerida:Sudán anónimo: guía completa del grupo de hackers
- ransomware
- Virus criptográfico
- casillero de archivos
- Doble extorsión
¿Existe un descifrador gratuito disponible?No, no existe un descifrador público para el ransomware Daixin.Métodos de distribución
- Correos electrónicos de phishing
- Explotación de vulnerabilidades
- Contraseñas débiles o predeterminadas en el Protocolo de escritorio remoto (RDP)
Consecuencias
- Los archivos se cifran y bloquean hasta el pago del rescate.
- Fuga de datos
- Doble extorsión
¿Qué son los IOC del ransomware Daixin?
Los indicadores de compromiso (IOC) son pistas digitales que los profesionales de la ciberseguridad utilizan para identificar compromisos del sistema y actividades maliciosas dentro de una red o entorno de TI. Cuando se detecta un COI, los equipos de seguridad evalúan posibles amenazas o validan su autenticidad. Los IOC también proporcionan evidencia de a qué tuvo acceso un atacante si se infiltrara en la red. Son esencialmente versiones digitales de evidencia dejada en la escena del crimen, y los IOC potenciales incluyen tráfico de red inusual, inicios de sesión de usuarios privilegiados de países extranjeros, solicitudes DNS extrañas, cambios en los archivos del sistema y más.
Nota de rescate de Daixin
En la nota de rescate, el equipo Daixin amenaza a las víctimas con publicar los datos robados dentro de los 5 días a menos que paguen el rescate. También le dan a la víctima un PIN personal que puede utilizar para contactar a los actores de la amenaza.
Si se da cuenta de que es víctima de ransomware, ponerse en contacto con los expertos en eliminación de ransomware de SalvageData le proporcionará un servicio seguro de recuperación de datos y eliminación de ransomware después de un ataque.
¿Cómo funciona el ransomware Daixin?
El modus operandi del equipo Daixin implica un proceso de varios pasos, comenzando con la explotación de un servidor de red privada virtual (VPN) a través de diversos medios, incluidos correos electrónicos de phishing y explotación de vulnerabilidades en la infraestructura VPN del objetivo. Una vez dentro, el grupo utiliza Secure Shell (SSH) y Remote Desktop Protocol (RDP) con software basado en el código fuente de Babuk Locker, lo que permite el movimiento lateral dentro del sistema. Las cuentas privilegiadas se manipulan para obtener acceso a servidores críticos, incluidos Servidores VMware vCenter. Posteriormente, los atacantes restablecieron las contraseñas de las cuentas de los servidores ESXi, allanando el camino para la implementación de su ransomware. Antes de cifrar el sistema, el equipo de Daixin extrae estratégicamente información de identificación personal (PII) y PHI, utilizando los datos robados como palanca adicional durante las negociaciones de rescate.
Cómo manejar un ataque de ransomware Daixin
El primer paso para recuperarse de un ataque de Daixin es aislar la computadora infectada desconectándola de Internet y eliminando cualquier dispositivo conectado. Luego, debes contactar a las autoridades locales. En el caso de los residentes y empresas estadounidenses, es elFBIy elCentro de denuncias de delitos en Internet (IC3).Para informar un ataque de ransomware, debe recopilar toda la información que pueda al respecto, incluida:
- Capturas de pantalla de la nota de rescate
- Comunicaciones con actores de amenazas (si los tiene)
- Una muestra de un archivo cifrado
Sin embargo, si prefierescontactar profesionales, entonces no hagas nada.Deje cada máquina infectada como estáy pide unservicio de eliminación de ransomware de emergencia. Reiniciar o apagar el sistema puede comprometer el servicio de recuperación. Capturar la RAM de un sistema activo puede ayudar a obtener la clave de cifrado, y capturar un archivo dropper, es decir, un archivo que ejecuta la carga maliciosa (un código de software o programas que ejecutan acciones no autorizadas en un sistema de destino), podría sufrir ingeniería inversa y conducir al descifrado de los datos o a comprender cómo funciona. Debeno eliminar el ransomwarey conservar todas las pruebas del ataque. Eso es importante paraforense digitalpara que los expertos puedan rastrear hasta el grupo de piratas informáticos e identificarlos. Es utilizando los datos de su sistema infectado que las autoridades puedenInvestigar el ataque y encontrar al responsable.Una investigación de un ciberataque no se diferencia de cualquier otra investigación criminal: necesita pruebas para encontrar a los atacantes.
1. Comuníquese con su proveedor de respuesta a incidentes
Una respuesta a un incidente cibernético es el proceso de responder y gestionar un incidente de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con un proveedor de ciberseguridad que permite a las organizaciones obtener ayuda externa con incidentes de ciberseguridad. Proporciona a las organizaciones experiencia estructurada y soporte a través de un socio de seguridad, lo que les permite responder de manera rápida y efectiva durante un incidente cibernético. Un anticipo de respuesta a incidentes ofrece tranquilidad a las organizaciones, ofreciendo soporte experto antes y después de un incidente de ciberseguridad. La naturaleza y estructura específicas de un contrato de respuesta a incidentes variarán según el proveedor y los requisitos de la organización. Un buen contrato de respuesta a incidentes debe ser sólido pero flexible y brindar servicios probados para mejorar la postura de seguridad a largo plazo de una organización.Si se comunica con su proveedor de servicios de IR, él puede hacerse cargo de inmediato y guiarlo en cada paso de la recuperación del ransomware.Sin embargo, si decide eliminar el ransomware usted mismo y recuperar los archivos con su equipo de TI, puede seguir los siguientes pasos.
2. Identificar la infección ransomware
Se puede identificar qué ransomware infectó su máquina verificando la extensión del archivo (algunos ransomware usan la extensión del archivo como nombre),usando una herramienta de identificación de ransomware, o estará en la nota de rescate. Con esta información, puede buscar una clave de descifrado pública. También puedes comprobar el tipo de ransomware por sus IOC.
3. Eliminar el ransomware y eliminar los kits de exploits
Antes de recuperar sus datos, debe garantizar que su dispositivo esté libre de ransomware y que los atacantes no puedan realizar un nuevo ataque a través de kits de exploits u otras vulnerabilidades. Un servicio de eliminación de ransomware puede eliminar el ransomware, crear un documento forense para su investigación, eliminar vulnerabilidades y recuperar sus datos.
4. Utilice una copia de seguridad para restaurar los datos.
No se puede subestimar la importancia de las copias de seguridad para la recuperación de datos, especialmente en el contexto de diversos riesgos y amenazas potenciales a la integridad de los datos. Las copias de seguridad son un componente crítico de una estrategia integral de protección de datos. Proporcionan un medio para recuperarse de una variedad de amenazas, asegurando la continuidad de las operaciones y preservando información valiosa. Frente a los ataques de ransomware, en los que el software malicioso cifra sus datos y exige un pago por su liberación, tener una copia de seguridad le permite restaurar su información sin sucumbir a las demandas del atacante. Asegúrese de probar y actualizar periódicamente sus procedimientos de copia de seguridad para mejorar su eficacia a la hora de protegerse contra posibles escenarios de pérdida de datos. Hay varias formas de hacer una copia de seguridad, por lo que debes elegir el medio de copia de seguridad adecuado y tener al menos una copia de tus datos almacenada fuera del sitio y sin conexión.
5. Póngase en contacto con un servicio de recuperación de ransomware
Si no tiene una copia de seguridad o necesita ayuda para eliminar el ransomware y eliminar las vulnerabilidades, comuníquese con un servicio de recuperación de datos. Pagar el rescate no garantiza que se le devolverán sus datos. La única forma garantizada de restaurar todos los archivos es si tiene una copia de seguridad. Si no lo hace, los servicios de recuperación de datos de ransomware pueden ayudarlo a descifrar y recuperar los archivos. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y evitar que Daixin ransomware ataque su red nuevamente; comuníquese con nuestros expertos en recuperación las 24 horas, los 7 días de la semana.
Prevenir el ataque del ransomware Daixin
Prevenir el ransomware es la mejor solución para la seguridad de los datos. es más fácil y económico que recuperarse de ellos. El ransomware Daixin puede costarle el futuro a su empresa e incluso cerrarle las puertas. Estos son algunos consejos para asegurarse de que puedaevitar ataques de ransomware:
- Mantenga el software actualizado para evitar vulnerabilidades que el ransomware pueda aprovechar.
- Utilice contraseñas seguras y autenticación de dos factores para evitar el acceso no autorizado a los sistemas.
- Haga copias de seguridad de los archivos importantes con regularidad y guárdelos en una ubicación segura.
- Tenga cuidado al abrir archivos adjuntos de correo electrónico o al hacer clic en enlaces de fuentes desconocidas.
- Utilice un software antivirus de buena reputación y manténgalo actualizado.
