Scarab Ransomware: Повний посібник

Програма-вимагач Scarab — це тип зловмисного програмного забезпечення, яке шифрує файли на комп’ютері жертви та вимагає плату в обмін на ключ розшифровки. Вперше його виявив дослідник безпеки зловмисного програмного забезпечення Майкл Гіллеспі в 2017 році. Він використовує шифр Advanced Encryption Standard (AES) для шифрування файлів. Група програм-вимагачів Scarab не розкрила, звідки воно походить і чи є воно політично мотивованим. Проте відомо, що булорозгорнуто по всьому світу за допомогою набору інструментів Spacecolon. Програмне забезпечення-вимагач Scarab може заражати системи та комп’ютери різними способами, включаючи фішингові електронні листи, шкідливі вкладення та вразливість програмного забезпечення.

Експерти SalvageData рекомендують профілактичні заходи безпеки даних, такі як регулярне резервне копіювання, ефективні методи кібербезпеки та оновлення програмного забезпечення для захисту від атак програм-вимагачів. і,у разі атаки програм-вимагачів зверніться до нашогофахівці з відновлення програм-вимагачівнегайно.

Scarab — це різновид програми-вимагача, яка непомітно проникає в системи та шифрує різні дані. Він додає назви файлів із розширенням «[[email protected]].scarab». Оновлені варіанти цієї програми-вимагача: .inchin, .gold, .crabs. Інші варіанти цієї програми-вимагача додадуть «[[email protected]]» як розширення до зашифрованих файлів. Після успішного шифрування вірус створює та автоматично відкриває текстовий файл («ЯКЩО ВИ ХОЧЕТЕ ПОВЕРНУТИ ВСІ СВОЇ ФАЙЛИ, ПРОЧИТАЙТЕ ЦЕ. TXT») і потім розміщує його на робочому столі. Програмне забезпечення-вимагач Scarab має дуже схожі характеристики з ElmersGlue, EncrypTile, GlobeImposter, TheDarkEncryptor та десятками інших вірусів-вимагачів.

Усе, що ми знаємо про програму-вимагач Scarab

Підтверджене ім'я

• Вірус скарабея

Тип загрози

• програми-вимагачі
• Криптовірус
• Шафка для файлів
• Подвійне вимагання

Розширення зашифрованих файлів

• Існує багато розширень файлів, залежно від варіанту програми-вимагача.

Повідомлення з вимогою викупу

• ЯКЩО ВИ ХОЧЕТЕ ПОВЕРНУТИ ВСІ СВОЇ ФАЙЛИ, ПРОЧИТАЙТЕ ЦЕЙ.TXT, ЯК ВІДНОВИТИ ЗАШИФРОВАНІ ФАЙЛИ – [email protected]

Чи є безкоштовний дешифратор?Ні, загальнодоступного дешифратора для програм-вимагачів Scarab немає.Методи розповсюдження

• Інфіковані вкладення електронної пошти (макроси)
• Безкоштовне завантаження
• Спам
• Сумнівні канали завантаження (наприклад, веб-сайти безкоштовних програм і веб-сайти третіх осіб, мережі спільного використання P2P тощо)
• Онлайн-шахрайство
• Шкідлива реклама
• Незаконні засоби активації програмного забезпечення («краки»)
• Фейкові оновлення

Наслідки

• Файли зашифровані та заблоковані до виплати викупу
• Витік даних
• Мережа залишається відкритою для нових одночасних атак
• Подвійне вимагання

Що міститься в записці про викуп Скарабея

Вміст записки про викуп Scarab змінюється залежно від варіанта програми-вимагача. Проте повідомлення про викуп зазвичай інформує жертв про шифрування та висуває вимоги про викуп. Запис про викуп – це текстовий файл із назвою «ЯКЩО ВИ ХОЧЕТЕ ОТРИМАТИ ВСІ СВОЇ ФАЙЛИ, ПРОЧИТАЙТЕ ЦЕ.TXT», який розміщується на робочому столі зараженого комп’ютера. Нижче наведено приклади вмісту повідомлення про викуп за Scarab:

Якщо ви розумієте, що стали жертвою програм-вимагачів, зв’яжіться з експертами SalvageData з видалення програм-вимагачів, які нададуть вам безпечну послугу відновлення даних і видалення програм-вимагачів після атаки.

Рекомендуємо прочитати:Akira Ransomware: Повний посібник

Як програма-вимагач Scarab заражає машину чи мережу?

Інфіковані вкладення електронної пошти (макроси)

Програмне забезпечення-вимагач Scarab часто поширюється через заражені вкладення електронної пошти, які містять шкідливі макроси. Коли жертва відкриває вкладення та вмикає макроси, програма-вимагач завантажується та запускається на комп’ютері жертви;

Безкоштовне завантаження

Програмне забезпечення-вимагач Scarab також може поширюватися через завантаження, коли жертва несвідомо завантажує програмне забезпечення-вимагач, відвідуючи скомпрометований веб-сайт.

Спам

Програмне забезпечення-вимагач Scarab може поширюватися через спам-кампанії, які містять шкідливі вкладення або посилання на заражені веб-сайти.

Сумнівні канали завантаження

Програмне забезпечення-вимагач Scarab можна поширювати через сумнівні канали завантаження, такі як безкоштовні та сторонні веб-сайти, мережі обміну P2P та інші неофіційні джерела завантаження програмного забезпечення.

Онлайн-шахрайство

Інтернет-шахрайство включає фальшиві оновлення програмного забезпечення або фальшиве антивірусне програмне забезпечення. Група вимагачів Scarab створює фальшиве антивірусне програмне забезпечення, яке нібито виявляє та видаляє зловмисне програмне забезпечення з комп’ютера жертви. Однак саме програмне забезпечення є зловмисним програмним забезпеченням і встановлює програмне забезпечення-вимагач на комп’ютері жертви. Банда також створює підроблені оновлення програмного забезпечення, які містять програми-вимагачі.

Шкідлива реклама

Програми-вимагачі Scarab можна поширювати через зловмисну ​​рекламу, коли жертва несвідомо завантажує програму-вимагач, клацаючи зловмисне програмне забезпечення, яке виглядає легальним.

Нелегальні засоби активації програмного забезпечення

Програмне забезпечення-вимагач Scarab можна розповсюджувати за допомогою незаконних інструментів активації програмного забезпечення, таких як «краки», які використовуються для обходу обмежень ліцензування програмного забезпечення.

Фейкові оновлення

Програми-вимагачі Scarab можуть поширюватися через підроблені оновлення програмного забезпечення, де жертві пропонується завантажити та встановити підроблене оновлення, яке містить програму-вимагач

Як працює програма-вимагач Scarab

Програмне забезпечення-вимагач Scarab використовує набір інструментів Spacecolon для компрометації вразливих веб-серверів або шляхом підбіру облікових даних RDP. Основним компонентом Spacecolon є ScHackTool, оркестратор на основі Delphi, який використовується для розгортання інсталятора, який встановлює ScService, бекдор із функціями для виконання користувацьких команд, завантаження та виконання корисних даних і отримання системи. інформація зі зламаних машин. ScHackTool також функціонує як канал для налаштування широкого спектру інструментів сторонніх розробників, отриманих із віддаленого сервера. Кінцевою метою атак є використання доступу, наданого ScService, для доставки варіанту програми-вимагача Scarab. Програма-вимагач Scarab використовує шифр Advanced Encryption Standard (AES) для шифрування файлів.

Що таке набір інструментів Spacecolon?

Набір інструментів Spacecolon — це шкідливий набір інструментів, який використовується для розгортання варіантів програм-вимагачів Scarab для жертв по всьому світу. Набір інструментів використовується для компрометації вразливих веб-серверів або через підбір облікових даних RDP.

Не платіть викуп!Звернення до служби видалення програм-вимагачів може не лише відновити ваші файли, але й усунути будь-яку потенційну загрозу.

Як протистояти атаці програми-вимагача Scarab

Першим кроком до відновлення після атаки Scarab є ізоляція зараженого комп’ютера, від’єднання від Інтернету та видалення всіх підключених пристроїв. Потім необхідно звернутися до місцевої влади. У випадку з резидентами та підприємствами США цемісцевий офіс ФБРіЦентр скарг на злочини в Інтернеті (IC3).Щоб повідомити про атаку програм-вимагачів, ви повинні зібрати всю можливу інформацію про неї, зокрема:

• Скріншоти записки про викуп
• Зв'язок із загрозливими суб'єктами (якщо вони у вас є)
• Зразок зашифрованого файлу

Однак, якщо ви віддаєте перевагузверніться до професіоналів, тоді нічого не робити.Залиште кожну інфіковану машину такою, як вона єі попроситислужба екстреного видалення програм-вимагачів. Перезапуск або завершення роботи системи може порушити роботу служби відновлення. Захоплення оперативної пам’яті активної системи може допомогти отримати ключ шифрування, а перехоплення файлу-дропера, тобто файлу, який виконує зловмисне корисне навантаження, може бути піддано зворотній інженерії та призведе до дешифрування даних або розуміння того, як він працює. Ви повинніне видаляти програму-вимагач, і зберігати всі докази нападу. Це важливо дляцифрова криміналістикащоб експерти могли відстежити хакерську групу та ідентифікувати їх. Органи влади можуть використовувати дані вашої зараженої системирозслідувати напад і знайти відповідальних.Розслідування кібератак не відрізняється від будь-якого іншого кримінального розслідування: воно потребує доказів, щоб знайти зловмисників.

1. Зверніться до свого постачальника служби реагування на інциденти

Реагування на кіберінциденти — це процес реагування на інциденти кібербезпеки та управління ними. Incident Response Retainer — це угода про надання послуг із постачальником кібербезпеки, яка дозволяє організаціям отримувати зовнішню допомогу щодо інцидентів кібербезпеки. Він надає організаціям структуровану форму експертних знань і підтримки через партнера з безпеки, що дозволяє їм швидко й ефективно реагувати під час кіберінциденту. Фіксатор реагування на інцидент забезпечує спокій для організацій, пропонуючи експертну підтримку до та після інциденту кібербезпеки. Специфічний характер і структура служби реагування на інциденти залежатимуть від постачальника та вимог організації. Хороший механізм реагування на інциденти має бути надійним, але гнучким, надавати перевірені послуги для підвищення довгострокової безпеки організації.Якщо ви зв’яжетеся зі своїм постачальником ІЧ-послуг, він негайно візьме на себе роботу та проведе вас на кожному етапі відновлення програми-вимагача.Однак якщо ви вирішите самостійно видалити програму-вимагач і відновити файли разом зі своєю командою ІТ, ви можете виконати наступні кроки.

2. Визначте зараження програмою-вимагачем

Ви можете визначити, яка програма-вимагач заразила вашу машину за розширенням файлу (деякі програми-вимагачі використовують розширення файлу як назву),використання інструменту ідентифікації програм-вимагачів, або це буде на записці про викуп. Маючи цю інформацію, ви можете шукати відкритий ключ дешифрування. Ви також можете перевірити тип програми-вимагача за її IOC. Індикатори компрометації (IOC) — це цифрові підказки, які фахівці з кібербезпеки використовують для виявлення компрометації системи та зловмисної діяльності в мережі чи ІТ-середовищі. По суті, це цифрові версії доказів, залишених на місці злочину, і потенційні IOC включають незвичайний мережевий трафік, привілейовані входи користувачів з інших країн, дивні запити DNS, зміни системних файлів тощо. Коли IOC виявляється, групи безпеки оцінюють можливі загрози або підтверджують його автентичність. IOC також надають докази того, до чого мав доступ зловмисник, якщо він проник у мережу.

3. Видаліть програми-вимагачі та ліквідуйте набори експлойтів

Перш ніж відновлювати свої дані, ви повинні переконатися, що ваш пристрій вільний від програм-вимагачів і що зловмисники не зможуть здійснити нову атаку за допомогою наборів експлойтів або інших уразливостей. Служба видалення програм-вимагачів може видалити програми-вимагачі, створити документ криміналістики для дослідження, усунути вразливості та відновити ваші дані.

4. Використовуйте резервну копію для відновлення даних

Резервне копіювання є найефективнішим способом відновлення даних. Обов’язково зберігайте щоденні або щотижневі резервні копії, залежно від використання даних.

5. Зверніться до служби відновлення програм-вимагачів

Якщо у вас немає резервної копії або вам потрібна допомога з видаленням програми-вимагача та усуненням уразливостей, зверніться до служби відновлення даних. Сплата викупу не гарантує повернення ваших даних. Єдиний гарантований спосіб відновлення кожного файлу – це наявність резервної копії. Якщо ви цього не зробите, служби відновлення даних програм-вимагачів можуть допомогти вам розшифрувати та відновити файли. Експерти SalvageData можуть безпечно відновити ваші файли та запобігти повторній атаці програм-вимагачів Scarab на вашу мережу. Зв’яжіться з нашими експертами 24/7, щоб отримати послуги з відновлення програм-вимагачів.

Запобігайте атаці програм-вимагачів Scarab

Запобігання програмам-вимагачам є найкращим рішенням для безпеки даних. легше і дешевше, ніж відновлюватися після них. Програми-вимагачі Scarab можуть коштувати майбутнього вашому бізнесу та навіть закрити його двері. Ось кілька порад, які допоможуть вамуникнути атак програм-вимагачів:

• Підтримуйте програмне забезпечення в актуальному стані, щоб запобігти вразливостям, якими може скористатися програма-вимагач.
• Використовуйте надійні паролі та двофакторну автентифікацію, щоб запобігти несанкціонованому доступу до систем.
• Регулярно створюйте резервні копії важливих файлів і зберігайте їх у безпечному місці.
• Будьте обережні, відкриваючи вкладення електронної пошти або натискаючи посилання з невідомих джерел.
• Використовуйте перевірене антивірусне програмне забезпечення та оновлюйте його.