Multiplattform ransomware: nåværende landskap, familier og forsvar

Informatec Digital » Ressurser » Multiplattform ransomware: nåværende landskap, familier og forsvar

Kryssplattformuavhengig ransomware har blitt en av de mest alvorlige hodepinene for bedrifter, offentlige etater og alle typer organisasjoner. Vi snakker ikke lenger bare om virus som påvirker Windows-maskiner, men også om virusfamilier som er i stand til å kryptere data på Linux-servere, ESXi-hypervisorer, virtuelle maskiner, og i økende grad til og med utnytte kunstig intelligens for å automatisere angrepene sine.

De siste årene har vi sett bølger av nye ransomware-familier skrevet i Rust, Go eller C++ , en eksplosjon av RaaS-modeller (Ransomware-as-a-Service) og svært målrettede kampanjer mot kritisk infrastruktur og bedriftsnettverk. Samtidig har hendelsesresponsteam og cybersikkerhetslaboratorier avdekket den indre funksjonen til disse angrepene, funnet designfeil, publisert dekrypteringsverktøy og dokumentert stadig mer komplekse taktikker, teknikker og prosedyrer (TTP-er).

Hva er plattformuavhengig ransomware, og hvorfor har det skutt i været?

Når vi snakker om plattformuavhengig ransomware, refererer vi til skadelig programvare som kan kjøre på mer enn ett operativsystem , vanligvis Windows og Linux, og ofte også på virtualiseringsmiljøer som VMware ESXi. Nøkkelen til dette spranget ligger i bruken av moderne programmeringsspråk som Rust, Go, eller, i mindre grad, C/C++ med arkitekturspesifikke versjoner.

Målet er klart: å maksimere effekten innenfor et enkelt bedriftsnettverk . Hvis angripere får tilgang til miljøet, ønsker de å kunne kryptere brukerdatamaskiner, servere, domenekontrollere, NAS-enheter (se NAS-beskyttelse ), virtuelle maskiner og alle eiendeler som lagrer verdifull informasjon. Dette øker forhandlingskraften for løsepenger betydelig.

Språk som Rust og Go er plattformuavhengige og tillater relativt enkel kompilering av binærfiler for forskjellige systemer og arkitekturer (x86, x86_64, ARM, osv.). Dette har blitt utnyttet av grupper som BlackCat, Hive, Luna, Akira, PromptLock og andre nyere familier, som ikke nøyer seg med å målrette seg mot kun én type system.

Videre har mange nettkriminelle grupper tatt i bruk RaaS-modellen (Ransomware-as-a-Service) , der utviklere av skadelig programvare leier ut plattformen sin til tilknyttede selskaper. Disse tilknyttede selskapene er ansvarlige for å kompromittere nettverk og distribuere ransomware, i bytte mot å dele løsepengene. Denne tilnærmingen oppmuntrer til kode som er modulær, lett å overføre og kan fungere sømløst på tvers av flere miljøer.

01flip: et Rust-ransomware på tvers av plattformer fokusert på Windows og Linux

Et nylig eksempel på denne trenden er 01flip, et ransomware skrevet utelukkende i Rust som har blitt observert angripende både Windows- og Linux-systemer på nettverk i Asia-Stillehavsregionen, noe som gjør Linux-systemadministrasjon kritisk for forsvaret. Forskere har koblet det til en aktivitet sporet som CL-CRI-1036, assosiert med økonomisk motivert nettkriminalitet.

De første indikasjonene dukket opp tidlig i juni 2025, da en mistenkelig Windows-kjørbar fil som viste typisk ransomware-oppførsel ble analysert i et isolert miljø. Binærfilen var verken pakket eller sterkt forvirret, noe som gjorde det lettere å bekrefte at det var ekte Rust-kode. Navnet 01flip kommer fra utvidelsen den legger til krypterte filer (.01flip) og kontaktadressen i løsepengebrevet (01Flip@protonme).

Deretter, takket være analyse av prøver på plattformer for deling av skadelig programvare, ble en Linux-versjon av 01flip identifisert som hadde gått uoppdaget i minst tre måneder . Bruken av Rust og krysskompilering tillot angriperne å holde den interne logikken til begge variantene tilnærmet identisk, og endret bare de plattformspesifikke avhengighetene.

Verktøy som rustbininfo viste at Rust-versjonen, commit-hashen og de fleste bibliotekene (crates) var de samme i Windows- og Linux-binærfilene. Dette indikerer at gruppen gjenbruker den samme kildekoden og kompilerer for forskjellige systemer med minimale endringer, en av de største fordelene med denne plattformuavhengige tilnærmingen.

Når det gjelder den faktiske virkningen, er det så langt observert et lite antall ofre , selv om noen av dem administrerer kritisk sosial infrastruktur i Sørøst-Asia. Det finnes bevis for datainnbrudd på mørke nettfora knyttet til CL-CRI-1036, men det totale antallet berørte organisasjoner er fortsatt ukjent.

01flip-angrepskjede: første tilgang, lateral bevegelse og utplassering

Rettsmedisinske analyser av nettverk kompromittert av 01flip avslører en ganske manuell og målrettet tilnærming . I ett dokumentert tilfelle begynte angriperne å undersøke perimeteret tidlig i april 2025, i et forsøk på å utnytte eldre sårbarheter som CVE-2019-11580 i internettvendte applikasjoner.

Selv om den nøyaktige inntrengingsvektoren som lyktes ikke kunne fastslås, finnes det sterke bevis for at angriperne distribuerte Sliver , en velkjent åpen kildekode-emulering av motstandere og C2-rammeverk skrevet i Go og på tvers av plattformer, på offerets Linux-maskin. En Sliver-beacon som opererte med en TCP-pivotprofil ble oppdaget én måned etter det første utnyttelsesforsøket.

Med denne konsoliderte tilgangen flyttet gruppen bak CL-CRI-1036 seg lateralt til andre Linux-maskiner i slutten av mai 2025 , og lastet ned nye Sliver-implantater for å utvide sin tilstedeværelse på nettverket. Distribusjonen av 01flip ransomware skjedde senere, da angriperne var kjent med miljøet og hadde tilstrekkelige administrative muligheter.

I en siste fase av hendelsen ble det oppdaget flere forekomster av 01flip som kjørte nesten samtidig på Windows- og Linux-maskiner i samme organisasjon. Selv om den nøyaktige metoden for intern spredning er uklar, er det rimelig å anta at de utnyttet Sliver-funksjonaliteter og tilleggsmoduler til å:

• Utfør interaktiv gjenkjenning av systemer og tjenester.
• Last ned legitimasjon og eskalere rettigheter innenfor domenet.
• Utfør sidebevegelser mot andre viktige segmenter og servere.

I kommunikasjonen sin krevde angriperne betaling på opptil 1 bitcoin (BTC) for dekryptering og brukte krypterte kanaler (sikker e-post og private meldinger) for å forhandle med ofrene. I hvert fall i denne kampanjen ble det ikke observert noen offentlig portal for dobbel utpressing, lik de som brukes av store RaaS-grupper, selv om et påstått innlegg om datasalg ble funnet på et mørkt nettforum umiddelbart etter infeksjonen.

Interne virkemåter i 01flip: kryptering, unnvikelse og sletting av spor

Logikken bak 01flip er relativt enkel, selv om den inneholder flere merkelige tekniske detaljer . Når den kjøres på et kompromittert system, utfører ransomware følgende hovedhandlinger:

1. List opp alle tilgjengelige enheter (i Windows, fra A: til Å:; ​​i Linux, monterte filsystemer) for å finne maksimalt antall skrivbare mapper.
2. Opprett en løsepengemelding kalt RECOVER-YOUR-FILE.TXT i hver mappe han har skriverettigheter til. Den inneholder kontaktinformasjon og en blokk med kryptert informasjon som ble brukt under forhandlingene.
3. Gi nytt navn til målfilene følge mønsteret . .<0 eller 1>.01flip, slik at hvert offer identifiseres og visse krypteringsparametere differensieres.
4. Krypter innholdet i filene med AES-128-CBC ved hjelp av en symmetrisk øktnøkkel generert for hvert system.
5. Krypter den øktnøkkelen med en innebygd RSA-2048 offentlig nøkkel i binærfilen og inkluderer den i løsepengebrevet, slik at bare personen som eier den private RSA-nøkkelen kan generere dekrypteringsprogrammet.
6. Den eliminerer seg selv på slutten av utførelsen for å komplisere den rettsmedisinske analysen.

Når det gjelder unnvikelse, kjennetegnes 01flip av bruken av native API-er og lavnivåkall når det er mulig . På Windows bruker den kjernefunksjoner i stedet for høynivå-API-er, som vanligvis overvåkes nøyere av sikkerhetsløsninger. På Linux bruker den lignende direkte systemkall. Denne strategien er ikke idiotsikker, men den bidrar til å kamuflere aktiviteten innenfor den legitime støyen fra operativsystemet.

Et annet lag med obfuskasjon er avhengig av kryptering av sensitive strenger i den binære filen . Løsepengemeldingen, filnavnet på meldingen, listen over utvidelser som skal behandles, og selve den offentlige RSA-nøkkelen lagres i kryptert form. Ved kjøretid dekrypteres de ved å bruke en enkel subtraksjonsoperasjon (SUB) på bytepar. Avhengig av størrelsen på hver streng plasseres den i .text- eller .data-delen av den kjørbare filen.

Paradoksalt nok inkluderer 01flip også en liten anti-sandkasseteknikk: den sjekker om den kjørbare filen inneholder strengen "01flip" . Hvis den oppdager den, sletter den seg selv uten å starte kryptering. Dette kompliserer automatisert analyse litt når laboratoriesystemer gir nytt navn til prøver, men det er fortsatt et ganske grunnleggende triks.

Sporslettingsmodulen er mer sofistikert. Når krypteringsfasen er fullført, prøver ransomware-viruset å overskrive sin egen binærfil med tilfeldige data og deretter slette den fra disken, både på Windows og Linux. I praksis bruker den plattformspesifikke kommandoer:

• På Windows: kombiner en ping for å introdusere en pause, fsutil for å nullstille flere megabyte av filen, og deretter en tvungen sletting (Fra /f /q).
• På Linux: bruker dd med /dev/urandom for å fylle flere megabyte av selve den kjørbare filen med tilfeldige data og så starter den en stille rm.

Retningslinjer for krypteringsunntak og mulig kobling til LockBit

Som med andre ransomware-familier, inneholder 01flip en liste over filtyper som den aldri krypterer . Formålet med denne ekskluderingslisten er å unngå å gjøre operativsystemet ubrukelig og å sikre at tjenester som er kritiske for angriperen (som administrative verktøy eller systembinærfiler) fortsetter å fungere, slik at miljøet forblir stabilt og offeret kan kommunisere og betale løsepengene.

Blant de ekskluderte utvidelsene finner vi et stort antall kjørbare filer og systemtyper : exe, dll, sys, bat, cmd, com, msi, msu, ocx, so, o, bin, rom, winmd, drivere (drv), fonter og skrifttyper (ttf, woff, otf, fnt, fon), visuelle ressurser (ico, icns, cur, ani), midlertidige filer og hurtigbufferfiler (tmp, sfcache), lenker (lnk), låsefiler (lock) eller installasjonspakker (deb, dmg, apk, app, cab, iso), blant mange andre.

Det er spesielt bemerkelsesverdig at lockbit-utvidelsen er utelukket , ettersom den vanligvis ikke brukes legitimt . Det faktum at 01flip ignorerer filer som slutter på .lockbit, har ført til at analytikere mistenker en mulig overlapping eller forbindelse med gruppen bak den beryktede LockBit-ransomware, som noen leverandører sporer under navnet Flighty Scorpius.

Utover denne merkelige sammentreffen i koden er det imidlertid ikke funnet noen TTP-er, infrastruktur eller handelsmønstre som tydelig peker på en direkte forbindelse mellom CL-CRI-1036 og LockBit. Det kan være en bevisst henvisning, en måte å unngå konflikter mellom transaksjoner, eller rett og slett en kopi av kodefragmenter hentet fra offentlige eksempler.

Uansett er ekskluderingslisten en viktig del av ransomware-designet , ettersom den lar systemet fortsette å starte opp og unngår å ødelegge elementer som er nødvendige for at offeret skal kunne få tilgang til løsepengebrevet, samhandle med miljøet og foreta betalingen hvis de velger å gjøre det.

ESXi-, Rust- og Go-miljøer og fremveksten av plattformuavhengig ransomware

Sikkerhetslaboratorier i diverse selskaper har observert en jevn økning i ransomware-familier som retter seg mot ESXi-hypervisorer i tillegg til Windows- og Linux-systemer. Siden mye av bedriftsinfrastrukturen har blitt virtualisert, kan angripere kryptere dusinvis eller til og med hundrevis av virtuelle maskiner samtidig ved å kompromittere en ESXi-server.

Luna-gruppen bruker for eksempel ransomware skrevet i Rust med muligheten til å angripe Windows, Linux og ESXi samtidig. Kasperskys analyse har oppdaget annonser for Luna på mørke nettfora som spesifiserer at de bare jobber med russisktalende partnere, en detalj som, sammen med visse stavefeil i løsepengemeldingen som er innebygd i binærfilen, antyder russisk opprinnelse.

Et annet bemerkelsesverdig tilfelle er Black Basta, en ransomware-familie skrevet i C++ som har kompromittert mer enn 40 organisasjoner siden oppstarten i 2022, hovedsakelig i USA, Europa og Asia. Både Black Basta og Luna har spesifikke varianter for ESXi, noe som forsterker denne trenden med å målrette virtualiseringslaget som et enkelt feilpunkt.

I mellomtiden har grupper som BlackCat og Hive også omfavnet Rust og Go . Hive kombinerer spesielt begge språkene i sitt økosystem av verktøy og har blitt et klassisk eksempel på plattformuavhengig ransomware rettet mot RaaS-modellen, med tilknyttede dashboards, offerhåndtering og svært raffinerte dobbel utpressingsstrategier.

Det underliggende budskapet forskerne formidler er tydelig: valget av språk som Rust og Go reduserer innsatsen som kreves for å portere ransomware mellom plattformer , legger til rette for noe omgåelse av tradisjonelle statiske signaturer og kompliserer reversanalyse for laboratorier, på grunn av den spesielle strukturen til binærfilene og kompileringsoptimaliseringene.

VolkLocker (CyberVolk 2.x): RaaS, automatisering med Telegram og en kritisk feil

Et annet nylig eksempel på plattformuavhengig ransomware er VolkLocker, assosiert med gjenoppblomstringen av den pro-russiske hacktivistgruppen CyberVolk . Denne nye operasjonen, kjent som CyberVolk 2.x, benytter en Ransomware-as-a-Service-tilnærming, som åpner døren for tilknyttede selskaper med begrenset teknisk ekspertise, men et ønske om å tjene penger på tilgang til kompromitterte nettverk.

VolkLocker er utviklet for å påvirke kritisk infrastruktur i Windows-, Linux- og ESXi-miljøer , og integrerer automatiserte funksjoner for å utføre kommandoer, eskalere privilegier og til og med aktivere destruktive funksjoner ved hjelp av tidtakere. En av de unike funksjonene er bruken av Telegram som en kommando- og kontrollkanal , som er avhengig av roboter og meldings-API-er for å motta ordrer, sende kommandoresultater og koordinere operasjoner på tvers av forskjellige kompromitterte systemer.

På et teknisk nivå inneholder den mekanismer for å omgå Windows User Account Control (UAC) for å eskalere privilegier , samt moduler programmert til å slette eller ødelegge data hvis visse tidsbetingelser er oppfylt, eller hvis offeret prøver å forstyrre krypteringsprosessen. Alt dette er i samsvar med en ganske profesjonell RaaS-tilnærming.

Sikkerhetsanalyser har imidlertid avdekket en svært alvorlig designfeil: masterkrypteringsnøklene er statisk kodet i binærfilene og lagret i klartekst. Dette betyr at når binærfilen er hentet ut og undersøkt, er det mulig å rekonstruere nøklene uten å betale løsepenger, noe som muliggjør utvikling av dekrypteringsverktøy for ofrene.

Denne typen sårbarhet minner om tidlige versjoner av andre løsepengevirus der kryptografien ble implementert feil , noe som tillot forskere å gi ut gratis dekrypteringsprogrammer. Imidlertid lærer grupper vanligvis av disse feilene og gir ut oppdaterte versjoner senere, så det er viktig å utnytte mulighetsvinduet mens det eksisterer.

PromptLock: den første AI-drevne løsepengeviruset

Innen innovasjon har ESET beskrevet PromptLock som det som kan betraktes som den første løsepengeviruset drevet av kunstig intelligens . Så vidt vi vet er det et bevis på konseptet eller et pågående arbeid som ennå ikke er observert i angrep i den virkelige verden, men det illustrerer hvor disse truslene kan utvikle seg.

PromptLock er skrevet i Go og har varianter for Windows og Linux , som igjen utnytter språkets kryssplattformnatur. Mest imponerende er det at det integrerer OpenAIs gpt-oss-20b-modell lokalt via Ollama API, og bruker AI til å generere ondsinnede Lua-skript på sparket.

Disse Lua-skriptene er bygget fra ledetekster kodet i selve skadevaren og brukes til å utføre flere oppgaver: liste opp filsystemet, identifisere filer av interesse, filtrere ut spesifikke data og til slutt utføre krypteringen. AI-en fungerer som en motor som tilpasser angrepslogikken til konteksten, og åpner døren for mye mer dynamisk oppførsel.

PromptLocks funn fremhever at offentlig tilgjengelige og lett tilgjengelige AI-verktøy kan brukes på nytt til ondsinnede formål , og automatisere kritiske faser av et ransomware-angrep (rekognosering, filanalyse, målvalg osv.) med en hastighet og skala som tidligere krevde betydelig manuell innsats.

For forsvarsteam betyr dette at volumet, kompleksiteten og tilpasningsevnen til angrep kan øke , spesielt hvis fremtidige ransomware-familier kombinerer AI, plattformuavhengige funksjoner og RaaS-forretningsmodeller. ESET forventer at ransomware vil fortsette å vokse sammen med kunstig intelligens og anbefaler å følge nøye med på kommende trender som vil bli skissert i spesifikke rapporter og rapporter med fokus på offensiv bruk av AI.

Flere trusler på tvers av plattformer: FakeSG, Akira og AMOS-tyveren for macOS

Kasperskys GReAT-team har også dokumentert andre kampanjer og familier som passer inn i dette flerplattforms crimeware-landskapet , der ransomware deler søkelyset med påloggingstyver og avanserte distribusjonssystemer.

En av de voksende truslene er FakeSG, en kampanje der legitime nettsteder blir kompromittert for å vise falske varsler om nettleseroppdateringer. Ved å klikke på disse varslene lastes en skadelig fil ned som kjører skjulte skript, etablerer kommando- og kontrolltilgang (C2) og lar angripere ta kontroll over systemet eller distribuere andre typer skadelig programvare, inkludert ransomware.

Innenfor streng kryptering har Akira etablert seg som en ransomware-variant som angriper både Windows og Linux . På kort tid har den rammet mer enn seksti organisasjoner på tvers av flere sektorer (detaljhandel, utdanning, forbruksvarer osv.). Den deler egenskaper med den velkjente Conti-ransomware, som en tilnærmet identisk mappeekskluderingsliste og et særegent C2-panel, med et klassisk, men robust grensesnitt som er motstandsdyktig mot analyseforsøk.

Parallelt har det vært en bemerkelsesverdig vekst i økosystemet av stjelerprogrammer som retter seg mot macOS , som tradisjonelt sett er mindre angrepet enn Windows. AMOS-stjelerprogrammet (Atomic macOS Stealer) dukket først opp i april 2023 og ble tilbudt for rundt 1.000 dollar per måned gjennom Telegram-kanaler.

Over tid utviklet AMOS seg fra å bli skrevet i Go til å bli omskrevet i C , og innlemmet stadig mer aggressive distribusjonsmetoder, som skadelig reklamekampanjer på nettsteder som etterlignet offisielle programvaresider. Når den er installert, stjeler den brukerlegitimasjon, sensitive data og andre hemmeligheter, og identifiserer hver infeksjon med en unik UUID. Denne typen tyveri demonstrerer at plattformuavhengighet ikke lenger er eksklusivt for ransomware, men strekker seg til resten av nettkriminelles arsenal.

Historie, utvikling og utpressingsmodeller for ransomware

For å forstå dagens situasjon er det viktig å huske at ransomware ikke er et nytt fenomen . Det første bredt dokumenterte tilfellet var AIDS Trojan eller PC Cyborg, i 1989, som krypterte filnavn på C:-stasjonen på PC-er og krevde en betaling på 189 dollar til en postboks i Panama i bytte mot et angivelig dekrypteringsverktøy.

Disse første enkle utpressingsangrepene har utviklet seg til doble, triple og til og med firedoble utpressingsmodeller . I kampanjer som Maze (2019) krypterte kriminelle ikke bare dataene, men truet også med å publisere dem hvis betaling ikke ble mottatt. Avaddon la i 2021 til muligheten for å iverksette distribuerte tjenestenektangrep (DDoS) mot ofre som gjorde motstand. Firedobling utpressing innebærer press på den målrettede organisasjonens kunder og partnere, noe som forsterker omdømmeskaden.

Løsepengevirus har blitt et velstrukturert marked innenfor det kriminelle økosystemet . Modeller som RaaS lar aktører med lav teknisk ekspertise lansere kampanjer ved hjelp av komplette plattformer som inkluderer skadevare, kontrollpaneler, betalingsinfrastruktur og tilknyttet støtte. Hive er et godt eksempel på denne flerplattformsbaserte, tjenesteorienterte tilnærmingen.

Noen grupper har til og med implementert interne bug bounty-programmer , der de betaler de som oppdager og rapporterer feil i koden sin for å forbedre sikkerheten i driften, slik man ser med LockBit. Denne ironien oppsummerer treffende nivået av profesjonalitet: mens de angriper sikkerheten til bedrifter og brukere, streber de etter å beskytte sitt eget «produkt».

Fremveksten av ransomware forklares delvis av hvor lett det sprer seg og mangfoldet av tilgjengelige infeksjonsvektorer : phishing, utnyttelse av sårbarheter, ondsinnede nedlastinger, makroer i dokumenter, angrep på eksponerte RDP-er, osv. Videre fullfører tilstedeværelsen av markedsplasser på det mørke nettet og tilleggstjenester (utleie av botnett, salg av tilgang, hvitvasking av kryptovaluta) en svært moden kriminell verdikjede.

Vanlige infeksjonsmetoder, unnvikelsesteknikker og krypteringsmetoder

Gjennom årene har ulike ransomware-familier forbedret og kombinert flere innloggingsmetoder . Mange kampanjer dreier seg fortsatt om phishing-e-poster, slik TeslaCrypt, CERBER, Nemucod, LECHIFFRE, MirCop og Stampado gjorde i sin tid, ved å bruke villedende vedlegg eller lenker for å kjøre den første nyttelasten.

Andre grupper har benyttet seg av angrepssett som kompromitterer legitime nettsteder , som CryptXXX, SNSLocker, XORIST eller DXXD, slik at det å bare besøke en sårbar side er nok til å forsøke å utnytte en rekke angrep i nettleseren eller i utdaterte programtillegg.

Nedlastinger og oppdateringer av skadelig programvare er også vanlige , slik man ser med BadBlock, 777, DemoTool, Crysis og TeleCrypt, der tilsynelatende legitime installatører skjulte ransomware. I mellomtiden utnyttet ransomware-familier som AutoLocky og XORBAT makroer i Office-dokumenter og lurte brukere til å aktivere aktivt innhold som utløste den skadelige koden.

Noen av de mest beryktede tilfellene, som WannaCry, Petya, Chimera, Jigsaw, Globe/Purge eller Teamxrat/Xpan, var preget av å utnytte nettverkssårbarheter og spre seg autonomt innenfor organisasjoner, og påvirke servere, arbeidsstasjoner og delte ressurser praktisk talt uten menneskelig inngripen.

Før kryptering deaktiverer mange av disse ondsinnede programmene sikkerhetsrelaterte tjenester og prosesser , sletter skyggekopier og gjenopprettingspunkter, og endrer systeminnstillinger for å sikre varighet og hindre gjenoppretting. Etter angrepet sletter de vanligvis spor og logger for å hindre rettsmedisinsk analyse.

Når det gjelder kryptering, har familier som WannaCry og Petya brukt robuste algoritmer som AES og RSA , implementert på en slik måte at det i teorien er umulig å reversere prosessen uten den tilhørende nøkkelen. Andre, som XORIST, XORBAT og Stampado, har valgt sine egne algoritmer eller tilpasninger som i noen tilfeller har vist seg sårbare for kryptografisk analyse.

Desinfeksjons- og dekrypteringsverktøy: Trend Micro-eksemplet

Som svar på økningen i angrep har økosystemet for cybersikkerhet begynt å gi ut dekrypteringsverktøy for et økende antall ransomware-familier , slik at ofrene kan gjenopprette dataene sine uten å betale. Et viktig eksempel er Trend Micro Ransomware File Decryptor, som støtter varianter som CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE, MirCop, Jigsaw, Globe/Purge, DXXD, Teamxrat/Xpan, Crysis, TeleCrypt, DemoTool, WannaCry og Petya.

For å bruke det, last ned verktøyet, pakk ut innholdet og kjør filen RansomwareFileDecryptor.exe . Etter at du har godtatt lisensavtalen, lar grensesnittet deg velge den involverte ransomware-familien, angi plasseringen til de krypterte filene og starte dekrypteringsprosessen, eller se veiledninger for gjenoppretting av filer fra en harddisk.

I visse varianter (for eksempel CyptXXX V1, XORIST, XORBAT, NEMUCOD eller TeleCrypt) krever verktøyet to filer: én kryptert og en ren kopi, for å kunne utlede nøkkelen eller gjenopprettingsmetoden. Det anbefales at disse filene er så store som mulig for å forenkle analysen.

Prosessen er ikke uten begrensninger. CryptXXX V3 tillater bare delvis dekryptering og kan kreve tilleggsverktøy for visse filtyper. BadBlock kan kryptere kritiske systemkomponenter, noe som kompliserer oppstartstider. CERBER krever at dekryptering utføres på selve den infiserte maskinen, og varigheten avhenger av CPU-kapasiteten. Globe/Purge bruker brute force og kan ta veldig lang tid, i tillegg til å ha problemer med FAT32-volumer.

Når det gjelder WannaCry, er dekryptering avhengig av å finne den private nøkkelen i minnet til den aktive prosessen , så det fungerer bare hvis ransomware fortsatt kjører og er spesielt effektivt på Windows XP-systemer. Petya, derimot, krever spesifikke trinn for å gjenopprette operativsystemet etter å ha gjenopprettet krypteringsnøkkelen fra den modifiserte MBR-en.

Selv med disse restriksjonene reduserer eksistensen av dekrypteringsverktøy det økonomiske insentivet for angripere betydelig . Hver gang en effektiv dekrypteringstjeneste lanseres, synker andelen ofre som er villige til å betale, noe som legger press på den kriminelle forretningsmodellen. Gruppene reagerer imidlertid vanligvis raskt, fikser sårbarhetene og lanserer nye, mer motstandsdyktige varianter.

Anbefalinger for beskyttelse mot ransomware på flere plattformer

Gitt dette scenariet er ekspertene enige om at forebygging og tidlig oppdagelse er helt avgjørende . Noen tiltak anbefalt av Kaspersky, ESET og andre sikkerhetsleverandører inkluderer:

• Ikke eksponer Eksternt skrivebordstjenester (RDP) eller annen administrativ tilgang direkte til Internett, med mindre det er strengt nødvendig, og alltid beskyttet med sterke passord, MFA og, om mulig, VPN.
• Fokuser den defensive strategien på å oppdage sidebevegelser og datautvinning, og overvåker nøye utgående trafikk og uvanlige tilkoblinger til eksterne servere.
• Implementer EDR/XDR-løsninger og administrerte deteksjonstjenester (som Kaspersky EDR Expert, Managed Detection and Response eller Cortex XDR/XSIAM) som kombinerer atferdsanalyse, maskinlæring og hendelseskorrelasjon for å identifisere mistenkelig aktivitet i tidlige stadier.
• Opplære og øke bevisstheten blant ansatte gjennom spesifikke opplæringsprogrammer, noe som reduserer sannsynligheten for at de faller for phishing-e-poster eller installerer skadelig programvare.
• Holde seg oppdatert med trusselinformasjon, og drar nytte av spesialiserte portaler som samler informasjon om aktive kampanjer, IoC-er og reelle TTP-er som brukes av angripere.
• Håndter angrepsflaten proaktivt, identifisere sårbare tjenester som er eksponert for Internett (som Atlassian Crowd Server berørt av CVE-2019-11580) med verktøy for angrepsoverflatehåndtering som Cortex Xpanse.

For de som mistenker at de kan ha vært ofre for en alvorlig hendelse, tilbyr hendelsesresponstjenester fra spesialiserte enheter som Unit 42 øyeblikkelig støtte via dedikerte telefonlinjer i Nord-Amerika, Europa, Asia-Stillehavsområdet, Japan, Australia, India og Sør-Korea. I tillegg legger initiativer som Cyber ​​Threat Alliance til rette for utveksling av teknisk etterretning mellom sikkerhetsselskaper for å akselerere utviklingen av beskyttelse og forstyrre kriminelle nettverk.

Organisasjoner oppfordres også til å rapportere forsøk på svindel, cyberangrep eller tegn på kompromittering til sine nasjonale CERT-enheter, relevante politimyndigheter og sine leverandører av cybersikkerhet. Jo mer informasjon som deles, desto lettere er det å identifisere mønstre og stoppe pågående kampanjer.

Det nåværende landskapet gjør det tydelig at plattformuavhengig ransomware har gått fra å være en teknisk sjeldenhet til en standard blant de mest aktive gruppene , støttet av språk som Rust og Go, RaaS-modeller, utnyttelse av ESXi-miljøer, AI-integrasjon og doble eller trippel utpressingskampanjer. Stilt overfor dette scenariet har kombinasjonen av forebygging, avansert overvåking, koordinert respons og offentlige dekrypteringsinitiativer blitt avgjørende for å fortsette å operere i et stadig mer fiendtlig digitalt miljø.