Ransomware berbilang platform: landskap semasa, keluarga dan pertahanan

Informatec Digital » Sumber » Ransomware berbilang platform: landskap semasa, keluarga dan pertahanan

Ransomware rentas platform telah menjadi salah satu masalah paling serius bagi perniagaan, badan awam dan semua jenis organisasi. Kita bukan lagi hanya bercakap tentang virus yang menjejaskan komputer Windows, tetapi juga tentang keluarga yang mampu menyulitkan data pada pelayan Linux, hipervisor ESXi, mesin maya dan, semakin meningkat, malah memanfaatkan kecerdasan buatan untuk mengautomasikan serangan mereka.

Dalam beberapa tahun kebelakangan ini, kita telah melihat gelombang keluarga ransomware baharu yang ditulis dalam Rust, Go atau C++ , satu ledakan model Ransomware-as-a-Service (RaaS) dan kempen yang sangat disasarkan terhadap infrastruktur kritikal dan rangkaian korporat. Pada masa yang sama, pasukan tindak balas insiden dan makmal keselamatan siber telah membongkar cara kerja dalaman serangan ini, mencari kelemahan reka bentuk, menerbitkan alat penyahsulitan dan mendokumentasikan taktik, teknik dan prosedur (TTP) yang semakin kompleks.

Apakah ransomware merentas platform dan mengapa ia melonjak naik?

Apabila kita bercakap tentang ransomware merentas platform, kita merujuk kepada perisian hasad yang mampu berjalan pada lebih daripada satu sistem pengendalian , biasanya Windows dan Linux, dan selalunya juga pada persekitaran virtualisasi seperti VMware ESXi. Kunci kepada lonjakan ini terletak pada penggunaan bahasa pengaturcaraan moden seperti Rust, Go, atau, pada tahap yang lebih rendah, C/C++ dengan binaan khusus seni bina.

Matlamatnya jelas: untuk memaksimumkan impak dalam satu rangkaian korporat . Jika penyerang mendapat akses kepada persekitaran, mereka mahu dapat menyulitkan komputer pengguna, pelayan, pengawal domain, peranti NAS (lihat perlindungan NAS ), mesin maya dan sebarang aset yang menyimpan maklumat berharga. Ini meningkatkan kuasa rundingan tebusan dengan ketara.

Bahasa seperti Rust dan Go adalah bebas platform dan membolehkan penyusunan binari yang agak mudah untuk sistem dan seni bina yang berbeza (x86, x86_64, ARM, dll.). Ini telah dieksploitasi oleh kumpulan seperti BlackCat, Hive, Luna, Akira, PromptLock dan keluarga baru-baru ini yang tidak berpuas hati dengan hanya menyasarkan satu jenis sistem.

Tambahan pula, banyak kumpulan penjenayah siber telah menerima pakai model Ransomware-as-a-Service (RaaS) , di mana pembangun perisian hasad menyewakan platform mereka kepada sekutu. Sekutu ini bertanggungjawab untuk menjejaskan rangkaian dan menggunakan ransomware, sebagai pertukaran untuk berkongsi pembayaran tebusan. Pendekatan ini menggalakkan kod yang modular, mudah alih dan boleh berfungsi dengan lancar merentasi pelbagai persekitaran.

01flip: ransomware Rust merentas platform yang tertumpu pada Windows dan Linux

Satu contoh terbaru trend ini ialah 01flip, sejenis ransomware yang ditulis sepenuhnya dalam Rust yang telah diperhatikan menyerang sistem Windows dan Linux pada rangkaian di rantau Asia Pasifik, menjadikan pentadbiran sistem Linux penting untuk pertahanan. Penyelidik telah mengaitkannya dengan aktiviti yang dikesan sebagai CL-CRI-1036, yang dikaitkan dengan jenayah siber yang bermotifkan kewangan.

Petunjuk pertama muncul pada awal Jun 2025, apabila fail boleh laku Windows yang mencurigakan yang mempamerkan tingkah laku ransomware tipikal dianalisis dalam persekitaran terpencil. Binari tersebut tidak dibungkus mahupun dikaburkan sepenuhnya, yang memudahkan pengesahan bahawa ia adalah kod Rust yang tulen. Nama 01flip berasal daripada sambungan yang dilampirkannya pada fail yang disulitkan (.01flip) dan alamat hubungan dalam nota tebusan (01Flip@protonme).

Seterusnya, hasil analisis sampel pada platform perkongsian perisian hasad, versi Linux 01flip telah dikenal pasti yang tidak dikesan selama sekurang-kurangnya tiga bulan . Penggunaan Rust dan penyusunan silang membolehkan penyerang mengekalkan logik dalaman kedua-dua varian hampir sama, hanya mengubah kebergantungan khusus platform.

Alat seperti rustbininfo menunjukkan bahawa versi Rust, hash komit dan kebanyakan pustaka (peti) adalah sama antara binari Windows dan Linux. Ini menunjukkan bahawa kumpulan tersebut menggunakan semula kod sumber yang sama dan mengkompil untuk sistem yang berbeza dengan perubahan minimum, salah satu kelebihan utama pendekatan merentas platform ini.

Berkenaan impak sebenar, sebilangan kecil mangsa telah diperhatikan setakat ini , walaupun sebahagian daripada mereka menguruskan infrastruktur sosial kritikal di Asia Tenggara. Terdapat bukti pelanggaran data di forum web gelap yang berkaitan dengan CL-CRI-1036, tetapi jumlah organisasi yang terjejas masih tidak diketahui.

Rantaian serangan 01flip: akses awal, pergerakan sisi dan penggunaan

Analisis forensik rangkaian yang dikompromi oleh 01flip mendedahkan pendekatan yang agak manual dan disasarkan . Dalam satu kes yang didokumenkan, penyerang mula menyelidiki perimeter pada awal April 2025, cuba mengeksploitasi kerentanan lama seperti CVE-2019-11580 dalam aplikasi yang menghadap internet.

Walaupun vektor kemasukan tepat yang berjaya tidak dapat ditentukan, terdapat bukti kukuh bahawa penyerang menggunakan Sliver , emulasi musuh sumber terbuka yang terkenal dan rangka kerja C2 yang ditulis dalam Go dan lintas platform, pada mesin Linux mangsa. Suar Sliver yang beroperasi dengan profil pangsi TCP dikesan sebulan selepas percubaan eksploitasi pertama.

Dengan akses gabungan ini, pada akhir Mei 2025, kumpulan di sebalik CL-CRI-1036 berpindah secara lateral ke mesin Linux lain , memuat turun implan Sliver baharu untuk meluaskan kehadiran mereka di rangkaian. Penggunaan ransomware 01flip berlaku kemudian, sebaik sahaja penyerang sudah biasa dengan persekitaran dan mempunyai keupayaan pentadbiran yang mencukupi.

Dalam fasa terakhir insiden itu, pelbagai kejadian 01flip dikesan berjalan hampir serentak pada mesin Windows dan Linux dalam organisasi yang sama. Walaupun kaedah penyebaran dalaman yang tepat tidak jelas, adalah munasabah untuk menganggap bahawa mereka memanfaatkan fungsi Sliver dan modul tambahan untuk:

• Lakukan pengecaman interaktif sistem dan perkhidmatan.
• Muat turun kelayakan dan meningkatkan keistimewaan dalam domain.
• Lakukan pergerakan sisi ke arah segmen dan pelayan utama yang lain.

Dalam komunikasi mereka, penyerang menuntut bayaran sehingga 1 bitcoin (BTC) untuk penyahsulitan dan menggunakan saluran yang disulitkan (e-mel selamat dan pesanan peribadi) untuk berunding dengan mangsa. Sekurang-kurangnya dalam kempen ini, tiada portal pemerasan berganda awam, serupa dengan yang digunakan oleh kumpulan RaaS yang besar, diperhatikan, walaupun catatan jualan data yang didakwa ditemui di forum web gelap sejurus selepas jangkitan.

Cara kerja dalaman 01flip: penyulitan, pengelakan dan pemadaman jejak

Logik di sebalik 01flip agak mudah, walaupun ia merangkumi beberapa butiran kejuruteraan yang pelik . Sebaik sahaja dilaksanakan pada sistem yang diceroboh, ransomware tersebut melakukan tindakan utama berikut:

1. Senaraikan semua unit yang boleh diakses (dalam Windows, dari A: hingga Z:; dalam Linux, sistem fail yang dipasang) untuk mencari bilangan maksimum direktori yang boleh ditulis.
2. Cipta nota tebusan yang dipanggil RECOVER-YOUR-FILE.TXT dalam setiap folder yang dia mempunyai kebenaran menulis. Ia termasuk maklumat hubungan dan blok maklumat yang disulitkan yang digunakan semasa rundingan.
3. Namakan semula fail sasaran mengikuti corak . .<0 atau 1>.01flip, supaya setiap mangsa dikenal pasti dan parameter penyulitan tertentu dibezakan.
4. Sulitkan kandungan fail dengan AES-128-CBC menggunakan kunci sesi simetri yang dijana untuk setiap sistem.
5. Sulitkan kunci sesi tersebut dengan kunci awam RSA-2048 terbenam dalam binari dan memasukkannya dalam nota tebusan, supaya hanya orang yang memiliki kunci RSA peribadi boleh menjana penyahsulit.
6. Ia menghapuskan dirinya sendiri pada akhir pelaksanaan untuk merumitkan analisis forensik.

Dari segi pengelakan, 01flip dicirikan oleh penggunaan API asli dan panggilan peringkat rendah apabila mungkin . Pada Windows, ia menggunakan fungsi kernel dan bukannya API peringkat tinggi, yang biasanya dipantau dengan lebih teliti oleh penyelesaian keselamatan. Pada Linux, ia menggunakan panggilan sistem langsung yang serupa. Strategi ini tidak mudah, tetapi ia membantu menyamarkan aktiviti dalam hingar yang sah dalam sistem pengendalian.

Satu lagi lapisan pengeliruan bergantung pada penyulitan rentetan sensitif dalam binari . Nota tebusan, nama fail nota, senarai sambungan yang akan diproses dan kunci awam RSA itu sendiri disimpan dalam bentuk yang disulitkan. Semasa masa jalan, ia dinyahsulit dengan menggunakan operasi penolakan mudah (SUB) pada pasangan bait. Bergantung pada saiz setiap rentetan, ia diletakkan di bahagian .text atau .data pada fail boleh laku.

Secara paradoksnya, 01flip juga menyertakan teknik anti-kotak pasir yang kecil: ia menyemak sama ada nama fail boleh laku mengandungi rentetan "01flip" . Jika ia mengesannya, ia hanya akan memadamkan dirinya sendiri tanpa memulakan penyulitan. Ini sedikit merumitkan analisis automatik apabila sistem makmal menamakan semula sampel, tetapi ia masih merupakan helah yang agak asas.

Modul pemadaman jejak adalah lebih canggih. Setelah fasa penyulitan selesai, ransomware cuba menulis ganti binarinya sendiri dengan data rawak dan kemudian memadamkannya daripada cakera, pada kedua-dua Windows dan Linux. Dalam praktiknya, ia menggunakan arahan khusus platform:

• Pada Windows: gabungkan ping untuk memperkenalkan jeda, fsutil untuk mengurangkan beberapa megabait fail, dan seterusnya pemadaman paksa (Daripada /f /q).
• Pada Linux: kegunaan dd dengan /dev/urandom untuk mengisi beberapa megabait fail boleh laku itu sendiri dengan data rawak dan kemudian ia melancarkan rm senyap.

Dasar pengecualian penyulitan dan kemungkinan pautan ke LockBit

Seperti keluarga ransomware yang lain, 01flip menggabungkan senarai sambungan fail yang tidak pernah disulitkannya . Tujuan senarai pengecualian ini adalah untuk mengelakkan sistem pengendalian daripada tidak dapat digunakan dan untuk memastikan perkhidmatan yang penting kepada penyerang (seperti alat pentadbiran atau binari sistem) terus berfungsi, supaya persekitaran kekal stabil dan mangsa boleh berkomunikasi dan membayar tebusan.

Antara sambungan yang dikecualikan, kami menemui sebilangan besar jenis boleh laku dan sistem : exe, dll, sys, bat, cmd, com, msi, msu, ocx, so, o, bin, rom, winmd, drivers (drv), fon dan rupa taip (ttf, woff, otf, fnt, fon), sumber visual (ico, icns, cur, ani), fail sementara dan cache (tmp, sfcache), pautan (lnk), fail kunci (lock) atau pakej pemasangan (deb, dmg, apk, app, cab, iso), antara banyak lagi.

Pengecualian sambungan lockbit amat penting , kerana ia biasanya tidak digunakan secara sah . Hakikat bahawa 01flip mengabaikan sebarang fail yang berakhir dengan .lockbit telah menyebabkan penganalisis mengesyaki kemungkinan pertindihan atau kaitan dengan kumpulan di sebalik ransomware LockBit yang terkenal, yang dijejaki oleh sesetengah vendor dengan nama Flighty Scorpius.

Walau bagaimanapun, selain kebetulan yang aneh dalam kod ini, tiada TTP, infrastruktur atau corak perdagangan telah ditemui yang jelas menunjukkan hubungan langsung antara CL-CRI-1036 dan LockBit. Ia mungkin satu anggukan yang disengajakan, cara untuk mengelakkan konflik antara transaksi atau sekadar salinan serpihan kod yang diambil daripada sampel awam.

Walau apa pun, senarai pengecualian merupakan bahagian penting dalam reka bentuk ransomware , kerana ia membolehkan sistem terus boot dan mengelakkan elemen kerosakan yang diperlukan oleh mangsa untuk mengakses nota tebusan, berinteraksi dengan persekitaran dan membuat pembayaran jika mereka memilih untuk berbuat demikian.

Persekitaran ESXi, Rust, Go dan kebangkitan ransomware merentas platform

Makmal keselamatan di pelbagai syarikat telah memerhatikan peningkatan yang stabil dalam keluarga ransomware yang menyasarkan hipervisor ESXi selain sistem Windows dan Linux. Memandangkan kebanyakan infrastruktur korporat telah divirtualisasikan, pelayan ESXi yang dikompromikan membolehkan penyerang menyulitkan berpuluh-puluh atau beratus-ratus mesin maya sekaligus.

Kumpulan Luna , sebagai contoh, menggunakan ransomware yang ditulis dalam Rust dengan keupayaan untuk menyerang Windows, Linux dan ESXi secara serentak. Analisis Kaspersky telah mengesan iklan untuk Luna di forum web gelap yang menyatakan bahawa mereka hanya berfungsi dengan afiliasi berbahasa Rusia, satu butiran yang, bersama-sama dengan kesalahan ejaan tertentu dalam nota tebusan yang terbenam dalam binari, mencadangkan asal usul Rusia.

Satu lagi kes penting ialah Black Basta, sebuah keluarga ransomware yang ditulis dalam C++ yang telah menjejaskan lebih 40 organisasi sejak kemunculannya pada tahun 2022, terutamanya di Amerika Syarikat, Eropah dan Asia. Kedua-dua Black Basta dan Luna mempunyai varian khusus untuk ESXi, mengukuhkan trend mensasarkan lapisan virtualisasi sebagai titik kegagalan tunggal.

Sementara itu, kumpulan seperti BlackCat dan Hive juga telah menerima pakai Rust and Go . Hive, khususnya, menggabungkan kedua-dua bahasa dalam ekosistem alatannya dan telah menjadi contoh klasik ransomware merentas platform yang ditujukan kepada model RaaS, dengan papan pemuka afiliasi, pengurusan mangsa dan strategi pemerasan berganda yang sangat halus.

Mesej asas yang disampaikan oleh para penyelidik adalah jelas: pilihan bahasa seperti Rust dan Go mengurangkan usaha yang diperlukan untuk memindahkan ransomware antara platform , memudahkan sedikit pengelakan tandatangan statik tradisional dan merumitkan analisis terbalik untuk makmal, disebabkan oleh struktur binari tertentu dan pengoptimuman kompilasi.

VolkLocker (CyberVolk 2.x): RaaS, automasi dengan Telegram dan kegagalan kritikal

Satu lagi contoh ransomware merentas platform terkini ialah VolkLocker, yang dikaitkan dengan kebangkitan semula kumpulan penggodam pro-Rusia CyberVolk . Operasi baharu ini, yang dikenali sebagai CyberVolk 2.x, menggunakan pendekatan Ransomware-as-a-Service, membuka pintu kepada sekutu dengan kepakaran teknikal yang terhad tetapi mempunyai keinginan untuk menjana wang daripada akses kepada rangkaian yang dikompromi.

VolkLocker direka bentuk untuk mempengaruhi infrastruktur kritikal dalam persekitaran Windows, Linux dan ESXi , mengintegrasikan keupayaan automatik untuk melaksanakan arahan, meningkatkan keistimewaan dan juga mengaktifkan fungsi pemusnah menggunakan pemasa. Salah satu ciri uniknya ialah penggunaan Telegram sebagai saluran arahan dan kawalan , bergantung pada bot dan API pemesejan untuk menerima pesanan, menghantar hasil arahan dan menyelaras operasi merentasi pelbagai sistem yang dikompromi.

Pada peringkat teknikal, ia menggabungkan mekanisme untuk memintas Kawalan Akaun Pengguna Windows (UAC) bagi meningkatkan keistimewaan , serta modul yang diprogramkan untuk memadam atau merosakkan data jika syarat masa tertentu dipenuhi atau jika mangsa cuba mengganggu proses penyulitan. Semua ini sejajar dengan pendekatan RaaS yang agak profesional.

Walau bagaimanapun, analisis keselamatan telah mendedahkan kecacatan reka bentuk yang sangat serius: kunci penyulitan induk dikodkan secara statik dalam binari dan disimpan dalam teks biasa. Ini bermakna, sebaik sahaja binari diekstrak dan diperiksa, kunci boleh dibina semula tanpa membayar wang tebusan, membolehkan pembangunan alat penyahsulitan untuk mangsa.

Jenis kerentanan ini mengingatkan kita kepada versi awal ransomware lain di mana kriptografi dilaksanakan secara salah , membolehkan penyelidik mengeluarkan penyahsulit percuma. Walau bagaimanapun, kumpulan biasanya belajar daripada kelemahan ini dan mengeluarkan versi yang ditambal kemudian, jadi adalah penting untuk memanfaatkan peluang semasa ia wujud.

PromptLock: ransomware berkuasa AI pertama

Dalam bidang inovasi, ESET telah menggambarkan PromptLock sebagai apa yang boleh dianggap sebagai ransomware pertama yang dikuasakan oleh kecerdasan buatan . Setakat yang diketahui, ia merupakan bukti konsep atau kerja yang sedang dijalankan yang belum diperhatikan dalam serangan dunia sebenar, tetapi ia menggambarkan di mana ancaman ini mungkin berkembang.

PromptLock ditulis dalam Go dan mempunyai varian untuk Windows dan Linux , sekali lagi memanfaatkan sifat merentas platform bahasa ini. Paling mengagumkan, ia mengintegrasikan model gpt-oss-20b OpenAI secara setempat melalui API Ollama, menggunakan AI untuk menjana skrip Lua yang berniat jahat dengan pantas.

Skrip Lua ini dibina daripada gesaan yang dikodkan dalam perisian hasad itu sendiri dan digunakan untuk melaksanakan pelbagai tugas: menyenaraikan sistem fail, mengenal pasti fail yang diminati, mengeluarkan data tertentu, dan akhirnya, melaksanakan penyulitan. AI bertindak sebagai enjin yang menyesuaikan logik serangan dengan konteks, membuka pintu kepada tingkah laku yang lebih dinamik.

Penemuan PromptLock mengetengahkan bahawa alatan AI yang tersedia secara umum dan mudah diakses boleh digunakan semula untuk tujuan berniat jahat , mengautomasikan fasa kritikal serangan ransomware (peninjauan, analisis fail, pemilihan sasaran, dll.) pada kelajuan dan skala yang sebelum ini memerlukan usaha manual yang besar.

Bagi pasukan pertahanan, ini bermakna jumlah, kerumitan dan kebolehsuaian serangan boleh meningkat , terutamanya jika keluarga ransomware masa hadapan menggabungkan AI, keupayaan merentas platform dan model perniagaan RaaS. ESET menjangkakan bahawa ransomware akan terus berkembang bersama kecerdasan buatan dan mengesyorkan agar memberi perhatian khusus kepada trend akan datang yang akan digariskan dalam laporan khusus dan kertas putih yang tertumpu pada penggunaan AI secara ofensif.

Lebih banyak ancaman merentas platform: FakeSG, Akira dan pencuri AMOS untuk macOS

Pasukan GReAT Kaspersky juga telah mendokumentasikan kempen dan keluarga lain yang sesuai dengan landskap perisian jenayah berbilang platform ini , di mana ransomware berkongsi tumpuan dengan pencuri kelayakan dan sistem pengedaran canggih.

Salah satu ancaman yang semakin berkembang ialah FakeSG, kempen di mana laman web yang sah dikompromikan untuk memaparkan pemberitahuan kemas kini pelayar palsu. Mengklik pada pemberitahuan ini akan memuat turun fail berniat jahat yang melaksanakan skrip tersembunyi, mewujudkan akses arahan dan kawalan (C2), dan membolehkan penyerang mengawal sistem atau menggunakan jenis perisian hasad lain, termasuk ransomware.

Dalam bidang penyulitan ketat, Akira telah mengukuhkan kedudukannya sebagai varian ransomware yang menyerang Windows dan Linux . Dalam masa yang singkat, ia telah menjejaskan lebih daripada enam puluh organisasi merentasi pelbagai sektor (runcit, pendidikan, barangan pengguna, dll.). Ia berkongsi ciri-ciri dengan ransomware Conti yang terkenal, seperti senarai pengecualian folder yang hampir sama dan panel C2 yang tersendiri, dengan antara muka klasik namun mantap yang tahan terhadap percubaan analisis.

Secara selari, terdapat pertumbuhan ketara dalam ekosistem pencuri yang menyasarkan macOS , yang secara tradisinya kurang diserang berbanding Windows. Pencuri AMOS (Atomic macOS Stealer) pada mulanya muncul pada April 2023 dan ditawarkan dengan harga sekitar $1.000 sebulan melalui saluran Telegram.

Lama-kelamaan, AMOS berkembang daripada ditulis dalam Go kepada ditulis semula dalam C , menggabungkan kaedah pengedaran yang semakin agresif, seperti kempen malvertisasi di laman web yang meniru halaman perisian rasmi. Setelah dipasang, ia mencuri kelayakan pengguna, data sensitif dan rahsia lain, mengenal pasti setiap jangkitan dengan UUID yang unik. Jenis pencuri ini menunjukkan bahawa pendekatan merentas platform tidak lagi eksklusif untuk ransomware, tetapi meluas ke seluruh senjata penjenayah siber.

Sejarah, evolusi dan model pemerasan ransomware

Untuk memahami situasi semasa, adalah penting untuk diingat bahawa ransomware bukanlah fenomena baharu . Kes pertama yang didokumentasikan secara meluas ialah AIDS Trojan atau PC Cyborg, pada tahun 1989, yang menyulitkan nama fail pada pemacu C: PC dan menuntut pembayaran sebanyak $189 kepada peti surat di Panama sebagai pertukaran untuk alat penyahsulitan yang dikatakan.

Serangan pemerasan mudah awal tersebut telah berkembang menjadi model pemerasan berganda, tiga kali ganda, malah empat kali ganda . Dalam kempen seperti Maze (2019), penjenayah bukan sahaja menyulitkan data tetapi juga mengancam untuk menerbitkannya jika pembayaran tidak diterima. Avaddon, pada tahun 2021, menambah kemungkinan melancarkan serangan penafian perkhidmatan teragih (DDoS) terhadap mangsa yang menentang. Peras ugut empat kali ganda menggabungkan tekanan ke atas pelanggan dan rakan kongsi organisasi yang disasarkan, sekali gus menguatkan kerosakan reputasi.

Ransomware telah berubah menjadi pasaran yang berstruktur dengan baik dalam ekosistem jenayah . Model seperti RaaS membolehkan pelaku dengan kepakaran teknikal yang rendah melancarkan kempen menggunakan platform lengkap yang merangkumi perisian hasad, panel kawalan, infrastruktur pembayaran dan sokongan afiliasi. Hive ialah contoh utama pendekatan berbilang platform dan berorientasikan perkhidmatan ini.

Sesetengah kumpulan juga telah melaksanakan program ganjaran pepijat dalaman , membayar mereka yang menemui dan melaporkan kecacatan dalam kod mereka untuk meningkatkan keselamatan operasi mereka, seperti yang dilihat dengan LockBit. Ironinya ini meringkaskan tahap profesionalisme dengan tepat: sambil menyerang keselamatan syarikat dan pengguna, mereka berusaha untuk melindungi "produk" mereka sendiri.

Kebangkitan ransomware sebahagiannya dijelaskan oleh kemudahan penyebarannya dan kepelbagaian vektor jangkitan yang tersedia : pancingan data, eksploitasi kerentanan, muat turun berniat jahat, makro dalam dokumen, serangan ke atas RDP yang terdedah, dan sebagainya. Tambahan pula, kehadiran pasaran web gelap dan perkhidmatan sampingan (sewaan botnet, jualan akses, pengubahan wang haram mata wang kripto) melengkapkan rantaian nilai jenayah yang sangat matang.

Kaedah jangkitan biasa, teknik pengelakan dan kaedah penyulitan

Selama bertahun-tahun, pelbagai keluarga ransomware telah memperhalusi dan menggabungkan pelbagai kaedah kemasukan . Banyak kempen masih berkisar tentang e-mel pancingan data, seperti yang dilakukan oleh TeslaCrypt, CERBER, Nemucod, LECHIFFRE, MirCop dan Stampado pada zaman mereka, menggunakan lampiran atau pautan yang mengelirukan untuk melaksanakan muatan awal.

Kumpulan lain bergantung pada kit eksploit yang menjejaskan laman web yang sah , seperti CryptXXX, SNSLocker, XORIST atau DXXD, jadi hanya melawat halaman yang terdedah sudah cukup untuk cuba mengeksploitasi rangkaian eksploit dalam pelayar atau dalam pemalam yang ketinggalan zaman.

Muat turun dan kemas kini perisian berniat jahat juga biasa berlaku , seperti yang dilihat pada BadBlock, 777, DemoTool, Crysis dan TeleCrypt, di mana pemasang yang nampaknya sah menyembunyikan ransomware. Sementara itu, keluarga ransomware seperti AutoLocky dan XORBAT mengeksploitasi makro dalam dokumen pejabat, memperdaya pengguna agar mendayakan kandungan aktif yang mencetuskan kod berniat jahat.

Antara kes yang paling terkenal, seperti WannaCry, Petya, Chimera, Jigsaw, Globe/Purge atau Teamxrat/Xpan, dicirikan dengan mengeksploitasi kelemahan rangkaian dan merebak secara autonomi dalam organisasi, menjejaskan pelayan, stesen kerja dan sumber kongsi tanpa campur tangan manusia.

Sebelum penyulitan, kebanyakan program berniat jahat ini melumpuhkan perkhidmatan dan proses berkaitan keselamatan , memadam salinan bayangan dan titik pemulihan serta mengubah suai tetapan sistem untuk memastikan kegigihan dan menghalang pemulihan. Selepas serangan, ia biasanya memadamkan jejak dan log untuk menghalang analisis forensik.

Berkenaan penyulitan, keluarga seperti WannaCry dan Petya telah menggunakan algoritma yang mantap seperti AES dan RSA , yang dilaksanakan sedemikian rupa sehingga, secara teorinya, adalah mustahil untuk membalikkan proses tanpa kunci yang sepadan. Yang lain, seperti XORIST, XORBAT dan Stampado, telah memilih algoritma atau penyesuaian mereka sendiri yang, dalam beberapa kes, telah terbukti terdedah kepada analisis kriptografi.

Alat pembasmian kuman dan penyahsulitan: kes Trend Micro

Sebagai tindak balas kepada lonjakan serangan, ekosistem keselamatan siber telah mula mengeluarkan alat penyahsulitan untuk semakin ramai keluarga ransomware , yang membolehkan mangsa mendapatkan semula data mereka tanpa membayar. Satu contoh penting ialah Trend Micro Ransomware File Decryptor, yang menyokong varian seperti CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE, MirCop, Jigsaw, Globe/Purge, DXXD, Teamxrat/Xpan, Crysis, TeleCrypt, DemoTool, WannaCry dan Petya.

Untuk menggunakannya, muat turun alat tersebut, ekstrak kandungannya dan jalankan fail RansomwareFileDecryptor.exe . Selepas menerima perjanjian lesen, antara muka membolehkan anda memilih keluarga ransomware yang terlibat, menentukan lokasi fail yang disulitkan dan memulakan proses penyahsulitan atau rujuk panduan untuk memulihkan fail daripada cakera keras.

Dalam varian tertentu (contohnya, CyptXXX V1, XORIST, XORBAT, NEMUCOD atau TeleCrypt), alat ini memerlukan dua fail: satu disulitkan dan satu salinan bersih, untuk membuat kesimpulan tentang kunci atau kaedah pemulihan. Adalah disyorkan agar fail-fail ini sebesar mungkin untuk memudahkan analisis.

Proses ini bukan tanpa batasan. CryptXXX V3 hanya membenarkan penyahsulitan separa dan mungkin memerlukan utiliti tambahan untuk jenis fail tertentu. BadBlock boleh menyulitkan komponen sistem kritikal, merumitkan masa but. CERBER memerlukan penyahsulitan dilakukan pada mesin yang dijangkiti itu sendiri, dan tempohnya bergantung pada kapasiti CPU. Globe/Purge menggunakan kekerasan dan boleh mengambil masa yang sangat lama, selain mempunyai masalah dengan volum FAT32.

Dalam kes WannaCry, penyahsulitan bergantung pada pencarian kunci persendirian dalam memori proses aktif , jadi ia hanya berfungsi jika ransomware masih berjalan dan amat berkesan pada sistem Windows XP. Sebaliknya, Petya memerlukan langkah khusus untuk memulihkan sistem pengendalian selepas memulihkan kunci penyulitan daripada MBR yang diubah suai.

Walaupun dengan sekatan ini, kewujudan alat penyahsulitan dapat mengurangkan insentif ekonomi untuk penyerang dengan ketara . Setiap kali penyahsulitan yang berkesan dilepaskan, peratusan mangsa yang sanggup membayar berkurangan, sekali gus memberi tekanan kepada model perniagaan jenayah. Walau bagaimanapun, kumpulan tersebut biasanya bertindak balas dengan cepat, membetulkan kelemahan dan mengeluarkan varian baharu yang lebih tahan lasak.

Cadangan untuk perlindungan terhadap ransomware berbilang platform

Berdasarkan senario ini, pakar bersetuju bahawa pencegahan dan pengesanan awal adalah sangat penting . Beberapa langkah yang disyorkan oleh Kaspersky, ESET dan penyedia keselamatan lain termasuk:

• Jangan dedahkan Perkhidmatan Desktop Jauh (RDP) atau akses pentadbiran yang lain terus ke Internet, melainkan jika perlu sepenuhnya, dan sentiasa dilindungi dengan kata laluan yang kukuh, MFA dan, jika boleh, VPN.
• Fokuskan strategi pertahanan pada mengesan pergerakan lateral dan penyusupan data, memantau trafik keluar dan sambungan luar biasa ke pelayan luaran dengan teliti.
• Melaksanakan penyelesaian EDR/XDR dan perkhidmatan pengesanan terurus (seperti Kaspersky EDR Expert, Managed Detection and Response atau Cortex XDR/XSIAM) yang menggabungkan analisis tingkah laku, pembelajaran mesin dan korelasi peristiwa untuk mengenal pasti aktiviti yang mencurigakan pada peringkat awal.
• Melatih dan meningkatkan kesedaran dalam kalangan pekerja melalui program latihan tertentu, sekali gus mengurangkan kemungkinan mereka akan terpedaya dengan e-mel pancingan data atau memasang perisian berniat jahat.
• Kekal dikemas kini dengan risikan ancaman, memanfaatkan portal khusus yang mengumpulkan maklumat tentang kempen aktif, IoC dan TTP sebenar yang digunakan oleh penyerang.
• Urus permukaan serangan secara proaktif, mengenal pasti perkhidmatan terdedah yang terdedah kepada Internet (seperti Atlassian Crowd Server yang terjejas oleh CVE-2019-11580) dengan alatan Pengurusan Permukaan Serangan seperti Cortex Xpanse.

Bagi mereka yang mengesyaki mereka mungkin telah menjadi mangsa insiden serius, perkhidmatan tindak balas insiden daripada unit khusus seperti Unit 42 menawarkan sokongan segera melalui talian telefon khusus di Amerika Utara, Eropah, Asia Pasifik, Jepun, Australia, India dan Korea Selatan. Di samping itu, inisiatif seperti Cyber ​​​​Threat Alliance memudahkan pertukaran risikan teknikal antara syarikat keselamatan untuk mempercepatkan pembangunan perlindungan dan mengganggu rangkaian jenayah.

Organisasi juga digalakkan untuk melaporkan percubaan penipuan, serangan siber atau tanda-tanda kompromi kepada CERT kebangsaan mereka, agensi penguatkuasaan undang-undang yang berkaitan dan penyedia keselamatan siber mereka. Lebih banyak maklumat yang dikongsi, lebih mudah untuk mengenal pasti corak dan menghentikan kempen yang sedang dijalankan.

Landskap semasa menjelaskan bahawa ransomware merentas platform telah berubah daripada sesuatu yang jarang berlaku secara teknikal kepada standard dalam kalangan kumpulan paling aktif , disokong oleh bahasa seperti Rust dan Go, model RaaS, eksploitasi persekitaran ESXi, integrasi AI dan kempen pemerasan berganda atau tiga kali ganda. Berhadapan dengan senario ini, gabungan pencegahan, pemantauan lanjutan, tindak balas yang diselaraskan dan inisiatif penyahsulitan awam telah menjadi penting untuk terus beroperasi dalam persekitaran digital yang semakin bermusuhan.