Večplatformska izsiljevalska programska oprema: trenutno stanje, družine in obramba

Informatec Digital » Viri » Večplatformska izsiljevalska programska oprema: trenutno stanje, družine in obramba

Medplatformska izsiljevalska programska oprema je postala ena najresnejših težav za podjetja, javne organe in vse vrste organizacij. Ne govorimo več le o virusih, ki prizadenejo računalnike z operacijskim sistemom Windows, temveč tudi o družinah virusov, ki so sposobni šifrirati podatke na strežnikih Linux, hipervizorjih ESXi, virtualnih strojih in vse bolj celo izkoriščati umetno inteligenco za avtomatizacijo svojih napadov.

V zadnjih letih smo bili priča valovom novih družin izsiljevalske programske opreme, napisane v Rustu, Gou ali C++ , eksploziji modelov izsiljevalske programske opreme kot storitve (RaaS) in zelo ciljno usmerjenim kampanjam proti kritični infrastrukturi in poslovnim omrežjem. Hkrati ekipe za odzivanje na incidente in laboratoriji za kibernetsko varnost razkrivajo notranje delovanje teh napadov, iščejo pomanjkljivosti v zasnovi, objavljajo orodja za dešifriranje in dokumentirajo vse bolj kompleksne taktike, tehnike in postopke (TTP).

Kaj je medplatformska izsiljevalska programska oprema in zakaj je njena uporaba strmo narasla?

Ko govorimo o medplatformski izsiljevalski programski opremi, mislimo na zlonamerno programsko opremo, ki se lahko izvaja v več kot enem operacijskem sistemu , običajno v sistemu Windows in Linux, pogosto pa tudi v virtualizacijskih okoljih, kot je VMware ESXi. Ključ do tega preskoka je v uporabi sodobnih programskih jezikov, kot so Rust, Go ali v manjši meri C/C++ z arhitekturno specifičnimi graditvami.

Cilj je jasen: povečati vpliv znotraj enega samega poslovnega omrežja . Če napadalci dobijo dostop do okolja, želijo imeti možnost šifriranja uporabniških računalnikov, strežnikov, krmilnikov domen, naprav NAS (glejte zaščita NAS ), virtualnih strojev in vseh sredstev, ki hranijo dragocene informacije. To znatno poveča pogajalsko moč za odkupnino.

Jeziki, kot sta Rust in Go, so neodvisni od platforme in omogočajo relativno enostavno prevajanje binarnih datotek za različne sisteme in arhitekture (x86, x86_64, ARM itd.). To so izkoristile skupine, kot so BlackCat, Hive, Luna, Akira, PromptLock in druge novejše družine, ki se ne zadovoljijo s ciljanjem le na eno vrsto sistema.

Poleg tega so številne kibernetske kriminalne skupine sprejele model izsiljevalske programske opreme kot storitve (RaaS) , pri katerem razvijalci zlonamerne programske opreme oddajajo svojo platformo podružnicam. Te podružnice so odgovorne za ogrožanje omrežij in nameščanje izsiljevalske programske opreme v zameno za delitev plačila odkupnine. Ta pristop spodbuja kodo, ki je modularna, enostavno prenosljiva in lahko brezhibno deluje v več okoljih.

01flip: medplatformska izsiljevalska programska oprema Rust, osredotočena na Windows in Linux

Nedavni primer tega trenda je 01flip, izsiljevalska programska oprema, v celoti napisana v Rustu , ki je napadla tako sisteme Windows kot Linux v omrežjih v azijsko-pacifiški regiji, zaradi česar je administracija sistema Linux ključnega pomena za obrambo. Raziskovalci so jo povezali z dejavnostjo, ki je bila zabeležena kot CL-CRI-1036 in je povezana s finančno motivirano kibernetsko kriminaliteto.

Prvi znaki so se pojavili v začetku junija 2025, ko je bila v izoliranem okolju analizirana sumljiva izvršljiva datoteka sistema Windows , ki je kazala tipično vedenje izsiljevalske programske opreme. Binarna datoteka ni bila niti zapakirana niti močno zakrita, kar je olajšalo potrditev, da gre za pristno kodo Rust. Ime 01flip izhaja iz končnice, ki jo doda šifriranim datotekam (.01flip), in kontaktnega naslova v zahtevku za odkupnino (01Flip@protonme).

Kasneje je bila zaradi analize vzorcev na platformah za deljenje zlonamerne programske opreme identificirana različica 01flip za Linux, ki je bila vsaj tri mesece neopažena . Uporaba Rusta in navzkrižnega prevajanja je napadalcem omogočila, da so notranjo logiko obeh različic ohranili praktično identično, spremenili pa so le odvisnosti, specifične za platformo.

Orodja, kot je rustbininfo, so pokazala, da so različica Rusta, zgoščena vrednost zapisov in večina knjižnic (crates) enaki v binarnih datotekah za Windows in Linux. To kaže, da skupina ponovno uporablja isto izvorno kodo in jo prevaja za različne sisteme z minimalnimi spremembami, kar je ena glavnih prednosti tega medplatformskega pristopa.

Kar zadeva dejanski vpliv, je bilo doslej opaženih majhno število žrtev , čeprav nekatere od njih upravljajo kritično socialno infrastrukturo v jugovzhodni Aziji. Obstajajo dokazi o kršitvah podatkov na forumih temnega spleta, povezanih s CL-CRI-1036, vendar skupno število prizadetih organizacij ostaja neznano.

Napadalna veriga 01flip: začetni dostop, bočno gibanje in namestitev

Forenzična analiza omrežij, ki jih je ogrozil 01flip, razkriva precej ročni in ciljno usmerjen pristop . V enem dokumentiranem primeru so napadalci začeli preiskovati območje v začetku aprila 2025 in poskušali izkoristiti starejše ranljivosti, kot je CVE-2019-11580, v aplikacijah, ki so dostopne do interneta.

Čeprav natančnega vektorja vstopa, ki je uspel, ni bilo mogoče določiti, obstajajo močni dokazi, da so napadalci na računalniku žrtve z Linuxom namestili Sliver, znano emulacijo nasprotnika z odprto kodo in ogrodje C2, napisano v jeziku Go in za več platform. En mesec po prvem poskusu izkoriščanja je bil zaznan svetilnik Sliver, ki je deloval s profilom TCP Pivot.

S tem konsolidiranim dostopom se je skupina, ki stoji za CL-CRI-1036, konec maja 2025 premaknila na druge Linux računalnike in prenesla nove vsadke Sliver, da bi razširila svojo prisotnost v omrežju. Do namestitve izsiljevalske programske opreme 01flip je prišlo kasneje, ko so se napadalci seznanili z okoljem in imeli zadostne skrbniške zmogljivosti.

V zadnji fazi incidenta je bilo zaznanih več primerkov virusa 01flip, ki so se skoraj sočasno izvajali na računalnikih z operacijskim sistemom Windows in Linux znotraj iste organizacije. Čeprav natančna metoda notranjega širjenja ni jasna, je razumno domnevati, da so izkoristili funkcionalnosti Sliverja in dodatne module za:

• Izvedite interaktivno prepoznavanje sistemov in storitev.
• Prenesi poverilnice in stopnjevati privilegije znotraj domene.
• Izvajajte bočne gibe proti drugim ključnim segmentom in strežnikom.

V svojih sporočilih so napadalci zahtevali plačila do 1 bitcoina (BTC) za dešifriranje in za pogajanja z žrtvami uporabljali šifrirane kanale (varno e-pošto in zasebna sporočila). Vsaj v tej kampanji ni bilo opaziti nobenega javnega portala za dvojno izsiljevanje, podobnega tistim, ki jih uporabljajo velike skupine RaaS, čeprav je bila takoj po okužbi na forumu temnega spleta najdena domnevna objava o prodaji podatkov.

Notranje delovanje 01flip: šifriranje, izogibanje in brisanje sledi

Logika, ki stoji za izsiljevalsko programsko opremo 01flip, je relativno preprosta, čeprav vključuje več zanimivih inženirskih podrobnosti . Ko se izsiljevalska programska oprema zažene na ogroženem sistemu, izvede naslednja glavna dejanja:

1. Seznam vseh dostopnih enot (v sistemu Windows od A: do Ž:; v Linuxu nameščeni datotečni sistemi), da poiščete največje število zapisljivih imenikov.
2. Ustvarite odkupnino z imenom RECOVER-YOUR-FILE.TXT v vsaki mapi, do katere ima dovoljenja za pisanje. Vključuje kontaktne podatke in blok šifriranih informacij, uporabljenih med pogajanji.
3. Preimenujte ciljne datoteke po vzorcu . .<0 ali 1>.01flip, tako da je vsaka žrtev identificirana in so določeni parametri šifriranja ločeni.
4. Šifrirajte vsebino datotek z AES-128-CBC z uporabo simetričnega ključa seje, ustvarjenega za vsak sistem.
5. Šifrirajte ta ključ seje z vdelanim javnim ključem RSA-2048 v binarni datoteki in jo vključi v zahtevo za odkupnino, tako da lahko dešifrirator ustvari le oseba, ki ima zasebni ključ RSA.
6. Na koncu izvedbe se sam izloči da bi otežile forenzično analizo.

Kar zadeva izogibanje, je za 01flip značilna uporaba izvornih API-jev in klicev nizke ravni, kadar koli je to mogoče . V sistemu Windows namesto API-jev visoke ravni, ki jih varnostne rešitve običajno bolj natančno spremljajo, uporablja funkcije jedra. V Linuxu podobno uporablja neposredne sistemske klice. Ta strategija ni zanesljiva, vendar pomaga prikriti dejavnost znotraj legitimnega hrupa operacijskega sistema.

Druga plast zakrivanja temelji na šifriranju občutljivih nizov znotraj binarne datoteke . Zahteva za odkupnino, ime datoteke, seznam razširitev, ki jih je treba obdelati, in sam javni ključ RSA so shranjeni v šifrirani obliki. Med izvajanjem se dešifrirajo z uporabo preproste operacije odštevanja (SUB) za pare bajtov. Glede na velikost vsakega niza se ta postavi v razdelek .text ali .data izvedljive datoteke.

Paradoksalno je, da 01flip vključuje tudi majhno tehniko proti peskovniku: preveri, ali ime izvedljive datoteke vsebuje niz "01flip" . Če ga zazna, se preprosto izbriše, ne da bi sprožil šifriranje. To nekoliko oteži avtomatizirano analizo, ko laboratorijski sistemi preimenujejo vzorce, vendar je še vedno dokaj preprost trik.

Modul za brisanje sledi je bolj dovršen. Ko je faza šifriranja končana, izsiljevalska programska oprema poskuša prepisati svojo binarno datoteko z naključnimi podatki in jo nato izbrisati z diska, tako v sistemu Windows kot Linux. V praksi uporablja ukaze, specifične za platformo:

• V sistemu Windows: združi ping za uvedbo premora, fsutil za izničenje več megabajtov datoteke in nato prisilno brisanje (Iz /f /q).
• V Linuxu: uporaba dd z /dev/urandom, da zapolnite več megabajtov izvedljive datoteke z naključnimi podatki in nato zažene tihi rm.

Pravilnik o izključitvah šifriranja in morebitna povezava do LockBita

Kot druge družine izsiljevalske programske opreme ima tudi 01flip seznam končnic datotek, ki jih nikoli ne šifrira . Namen tega seznama izključitev je preprečiti, da bi operacijski sistem postal neuporaben, in zagotoviti, da storitve, ki so ključne za napadalca (kot so skrbniška orodja ali sistemske binarne datoteke), še naprej delujejo, tako da okolje ostane stabilno in da lahko žrtev komunicira in plača odkupnino.

Med izključenimi razširitvami najdemo veliko število izvedljivih in sistemskih tipov : exe, dll, sys, bat, cmd, com, msi, msu, ocx, so, o, bin, rom, winmd, gonilniki (drv), pisave in tipografije (ttf, woff, otf, fnt, fon), vizualni viri (ico, icns, cur, ani), začasne in predpomnilniške datoteke (tmp, sfcache), povezave (lnk), zaklepne datoteke (lock) ali namestitveni paketi (deb, dmg, apk, app, cab, iso) in mnoge druge.

Izključitev razširitve lockbit je še posebej pomembna , saj se običajno ne uporablja legitimno . Dejstvo, da 01flip ignorira vse datoteke, ki se končajo na .lockbit, je analitike spodbudilo k sumu morebitnega prekrivanja ali povezave s skupino, ki stoji za zloglasno izsiljevalsko programsko opremo LockBit, ki jo nekateri prodajalci spremljajo pod imenom Flighty Scorpius.

Vendar pa poleg tega nenavadnega naključja v kodi niso bili najdeni nobeni TTP-ji, infrastruktura ali vzorci trgovanja , ki bi jasno kazali na neposredno povezavo med CL-CRI-1036 in LockBit. Lahko bi šlo za namerno namigovanje, način za izogibanje konfliktom med transakcijami ali preprosto za kopijo fragmentov kode, vzetih iz javnih vzorcev.

V vsakem primeru je seznam izključitev bistveni del zasnove izsiljevalske programske opreme , saj omogoča nadaljnje zaganjanje sistema in preprečuje poškodovanje elementov, ki so potrebni, da žrtev dostopa do sporočila o odkupnini, komunicira z okoljem in izvede plačilo, če se tako odloči.

Okolja ESXi, Rust, Go in porast izsiljevalske programske opreme za več platform

Varnostni laboratoriji v različnih podjetjih so opazili stalno naraščanje števila družin izsiljevalske programske opreme, ki poleg sistemov Windows in Linux ciljajo tudi na hipervizorje ESXi. Ker je velik del korporativne infrastrukture virtualiziran, lahko ogrožanje strežnika ESXi napadalcem hkrati šifrira na desetine ali celo stotine virtualnih strojev.

Skupina Luna na primer uporablja izsiljevalsko programsko opremo, napisano v Rustu, ki lahko hkrati napada Windows, Linux in ESXi. Kasperskyjeva analiza je na forumih temnega spleta zaznala oglase za Luno, v katerih je navedeno, da delujejo le z rusko govorečimi podružnicami, kar skupaj z nekaterimi črkovalnimi napakami v zahtevi za odkupnino, vgrajeni v binarno datoteko, kaže na ruski izvor.

Drug pomemben primer je Black Basta, družina izsiljevalskih virusov, napisana v jeziku C++, ki je od svojega pojava leta 2022 ogrozila več kot 40 organizacij , predvsem v Združenih državah Amerike, Evropi in Aziji. Tako Black Basta kot Luna imata posebne različice za ESXi, kar krepi ta trend ciljanja na virtualizacijski sloj kot enotno točko odpovedi.

Medtem so skupine, kot sta BlackCat in Hive, prav tako sprejele Rust in Go . Hive zlasti združuje oba jezika v svojem ekosistemu orodij in je postal klasičen primer medplatformske izsiljevalske programske opreme, usmerjene v model RaaS, s partnerskimi nadzornimi ploščami, upravljanjem žrtev in zelo dovršenimi strategijami dvojnega izsiljevanja.

Osnovno sporočilo raziskovalcev je jasno: izbira programskih jezikov, kot sta Rust in Go, zmanjšuje trud, potreben za prenos izsiljevalske programske opreme med platformami , omogoča izogibanje tradicionalnim statičnim podpisom in otežuje obratno analizo za laboratorije zaradi posebne strukture binarnih datotek in optimizacij prevajanja.

VolkLocker (CyberVolk 2.x): RaaS, avtomatizacija s Telegramom in kritična napaka

Drug nedavni primer medplatformske izsiljevalske programske opreme je VolkLocker, povezan s ponovnim vzponom proruske hektivistične skupine CyberVolk . Ta nova operacija, znana kot CyberVolk 2.x, uporablja pristop izsiljevalske programske opreme kot storitve (Ransomware-as-a-Service), ki odpira vrata povezanim osebam z omejenim tehničnim znanjem, vendar željo po monetizaciji dostopa do ogroženih omrežij.

VolkLocker je zasnovan tako, da vpliva na kritično infrastrukturo v okoljih Windows, Linux in ESXi , saj integrira avtomatizirane zmogljivosti za izvajanje ukazov, povečevanje privilegijev in celo aktiviranje destruktivnih funkcij z uporabo časovnikov. Ena od njegovih edinstvenih lastnosti je uporaba Telegrama kot kanala za upravljanje in nadzor , pri čemer se zanaša na bote in API-je za sporočanje za prejemanje ukazov, pošiljanje rezultatov ukazov in usklajevanje operacij v različnih ogroženih sistemih.

Na tehnični ravni vključuje mehanizme za obhod nadzora uporabniških računov sistema Windows (UAC) za povečanje privilegijev , pa tudi module, programirane za brisanje ali poškodovanje podatkov, če so izpolnjeni določeni časovni pogoji ali če žrtev poskuša poseči v postopek šifriranja. Vse to je skladno s precej profesionalnim pristopom RaaS.

Vendar pa so varnostne analize razkrile zelo resno pomanjkljivost v zasnovi: glavni šifrirni ključi so statično kodirani v binarnih datotekah in shranjeni v obliki navadnega besedila. To pomeni, da je po ekstrakciji in pregledu binarne datoteke mogoče rekonstruirati ključe brez plačila odkupnine, kar žrtvam omogoča razvoj orodij za dešifriranje.

Ta vrsta ranljivosti spominja na zgodnje različice druge izsiljevalske programske opreme, kjer je bila kriptografija implementirana nepravilno , kar je raziskovalcem omogočilo izdajo brezplačnih dešifrirjev. Vendar pa se skupine običajno učijo iz teh pomanjkljivosti in kasneje izdajo popravljene različice, zato je ključnega pomena, da izkoristijo priložnost, dokler obstaja.

PromptLock: prva izsiljevalska programska oprema, ki jo poganja umetna inteligenca

Na področju inovacij je ESET opisal PromptLock kot prvo izsiljevalsko programsko opremo, ki jo poganja umetna inteligenca . Kolikor je znano, gre za konceptni dokaz oziroma delo v teku, ki ga v resničnem svetu še niso opazili, vendar ponazarja, kam se te grožnje lahko razvijejo.

PromptLock je napisan v jeziku Go in ima različice za Windows in Linux , kar spet izkorišča medplatformsko naravo tega jezika. Najbolj impresivno je, da lokalno integrira model OpenAI gpt-oss-20b prek Ollama API-ja in s pomočjo umetne inteligence sproti ustvarja zlonamerne Lua skripte.

Te Lua skripte so zgrajene iz pozivov, kodiranih v sami zlonamerni programski opremi , in se uporabljajo za opravljanje več nalog: naštevanje datotečnega sistema, prepoznavanje datotek, ki nas zanimajo, pridobivanje določenih podatkov in končno izvajanje šifriranja. Umetna inteligenca deluje kot mehanizem, ki prilagaja logiko napada kontekstu in odpira vrata veliko bolj dinamičnemu vedenju.

Ugotovitev PromptLocka poudarja, da je mogoče javno dostopna in lahko dostopna orodja umetne inteligence ponovno uporabiti za zlonamerne namene , s čimer se kritične faze napada z izsiljevalsko programsko opremo (izvidovanje, analiza datotek, izbira tarče itd.) avtomatizirajo s hitrostjo in obsegom, ki je prej zahteval precejšen ročni napor.

Za obrambne ekipe to pomeni, da bi se lahko obseg, kompleksnost in prilagodljivost napadov povečali , zlasti če bodo prihodnje družine izsiljevalske programske opreme združevale umetno inteligenco, zmogljivosti za več platform in poslovne modele RaaS. ESET pričakuje, da bo izsiljevalska programska oprema še naprej rasla skupaj z umetno inteligenco, in priporoča, da se pozorno spremljajo prihajajoči trendi, ki bodo opisani v posebnih poročilih in belih knjigah, osredotočenih na ofenzivno uporabo umetne inteligence.

Več groženj za več platform: FakeSG, Akira in kradljiva programska oprema AMOS za macOS

Kasperskyjeva ekipa GReAT je dokumentirala tudi druge kampanje in družine, ki se ujemajo s to večplatformsko kriminalno krajino , kjer si izsiljevalska programska oprema deli središče pozornosti s tatovi poverilnic in naprednimi distribucijskimi sistemi.

Ena od rastočih groženj je FakeSG, kampanja, v kateri so legitimna spletna mesta ogrožena za prikazovanje lažnih obvestil o posodobitvah brskalnika. S klikom na ta obvestila se prenese zlonamerna datoteka, ki izvaja skrite skripte, vzpostavi dostop do ukazov in nadzora (C2) in napadalcem omogoči prevzem nadzora nad sistemom ali uporabo drugih vrst zlonamerne programske opreme, vključno z izsiljevalsko programsko opremo.

Na področju šifriranja se je Akira uveljavila kot različica izsiljevalske programske opreme, ki napada tako Windows kot Linux . V kratkem času je prizadela več kot šestdeset organizacij v različnih sektorjih (trgovina na drobno, izobraževanje, potrošniško blago itd.). Z znano izsiljevalsko programsko opremo Conti si deli značilnosti, kot sta praktično enak seznam izključitev map in značilna plošča C2 s klasičnim, a robustnim vmesnikom, odpornim na poskuse analize.

Vzporedno je prišlo do opazne rasti ekosistema kradljivcev programske opreme, ki cilja na macOS , tradicionalno manj napaden kot Windows. Kradljiva programska oprema AMOS (Atomic macOS Stealer) se je prvič pojavila aprila 2023 in je bila prek Telegramovih kanalov na voljo za približno 1.000 dolarjev na mesec.

Sčasoma se je AMOS razvil iz jezika Go v programsko opremo C , ki je bila prepisana, in vključeval vse bolj agresivne metode distribucije, kot so kampanje zlonamernega oglaševanja na spletnih mestih, ki so posnemala uradne strani programske opreme. Ko je nameščen, krade uporabniške poverilnice, občutljive podatke in druge skrivnosti ter vsako okužbo identificira z edinstvenim UUID-jem. Ta vrsta kradljivca programske opreme dokazuje, da medplatformski pristop ni več namenjen izključno izsiljevalski programski opremi, temveč se razteza na preostali del kibernetskega kriminalnega arzenala.

Zgodovina, razvoj in modeli izsiljevanja izsiljevalske programske opreme

Za razumevanje trenutnih razmer je pomembno vedeti, da izsiljevalska programska oprema ni nov pojav . Prvi široko dokumentiran primer je bil trojanski konj AIDS ali PC Cyborg iz leta 1989, ki je šifriral imena datotek na pogonu C: v osebnih računalnikih in zahteval plačilo 189 dolarjev na poštni predal v Panami v zameno za domnevno orodje za dešifriranje.

Ti začetni preprosti izsiljevalski napadi so se razvili v dvojne, trojne in celo štirikratne izsiljevalske modele . V kampanjah, kot je Maze (2019), kriminalci niso le šifrirali podatkov, ampak so tudi grozili z njihovo objavo, če plačilo ne bi bilo prejeto. Avaddon je leta 2021 dodal možnost izvedbe porazdeljenih napadov zavrnitve storitve (DDoS) proti žrtvam, ki so se upirale. Štirikratno izsiljevanje vključuje pritisk na stranke in partnerje ciljne organizacije, kar povečuje škodo za ugled.

Izsiljevalska programska oprema se je znotraj kriminalnega ekosistema preoblikovala v dobro strukturiran trg . Modeli, kot je RaaS, omogočajo akterjem z nizkim tehničnim znanjem, da sprožijo kampanje z uporabo celovitih platform, ki vključujejo zlonamerno programsko opremo, nadzorne plošče, plačilno infrastrukturo in podporo partnerjev. Hive je odličen primer tega večplatformskega, storitveno usmerjenega pristopa.

Nekatere skupine so celo uvedle interne programe nagrajevanja za napake , v katerih plačujejo tistim, ki odkrijejo in prijavijo napake v njihovi kodi, za izboljšanje varnosti njihovega delovanja, kot je bilo razvidno iz primera LockBit. Ta ironija primerno povzema raven profesionalnosti: medtem ko napadajo varnost podjetij in uporabnikov, si prizadevajo zaščititi svoj lastni "izdelek".

Vzpon izsiljevalske programske opreme je deloma mogoče pojasniti z enostavnostjo širjenja in raznolikostjo razpoložljivih vektorjev okužbe : lažno predstavljanje, izkoriščanje ranljivosti, zlonamerni prenosi, makri v dokumentih, napadi na izpostavljene RDP-je itd. Poleg tega prisotnost tržnic temnega spleta in pomožnih storitev (najem botnetov, prodaja dostopov, pranje kriptovalut) dopolnjuje zelo zrelo kriminalno vrednostno verigo.

Pogoste metode okužbe, tehnike izogibanja in metode šifriranja

Skozi leta so različne družine izsiljevalske programske opreme izpopolnile in združile več metod vnosa . Številne kampanje se še vedno vrtijo okoli lažnih e-poštnih sporočil, kot so to počeli TeslaCrypt, CERBER, Nemucod, LECHIFFRE, MirCop in Stampado, ki so za izvedbo začetnega koristnega tovora uporabljali zavajajoče priloge ali povezave.

Druge skupine so se zanašale na komplete za izkoriščanje ranljivosti, ki ogrožajo legitimna spletna mesta , kot so CryptXXX, SNSLocker, XORIST ali DXXD, tako da je že sam obisk ranljive strani dovolj, da poskušajo izkoristiti verigo ranljivosti v brskalniku ali zastarelih vtičnikih.

Pogosti so tudi prenosi in posodobitve zlonamerne programske opreme , kot je bilo razvidno iz primerov BadBlock, 777, DemoTool, Crysis in TeleCrypt, kjer so na videz legitimni namestitveni programi skrivali izsiljevalsko programsko opremo. Medtem so družine izsiljevalske programske opreme, kot sta AutoLocky in XORBAT, izkoriščale makre v dokumentih Office in uporabnike zavajale, da so omogočili aktivno vsebino, ki je sprožila zlonamerno kodo.

Nekateri najbolj razvpiti primeri, kot so WannaCry, Petya, Chimera, Jigsaw, Globe/Purge ali Teamxrat/Xpan, so bili značilni po izkoriščanju omrežnih ranljivosti in avtonomnem širjenju znotraj organizacij, pri čemer so prizadeli strežnike, delovne postaje in skupne vire praktično brez človeškega posredovanja.

Pred šifriranjem mnogi od teh zlonamernih programov onemogočijo varnostne storitve in procese , izbrišejo senčne kopije in obnovitvene točke ter spremenijo sistemske nastavitve, da zagotovijo trajnost in ovirajo obnovitev. Po napadu običajno izbrišejo sledi in dnevnike, da ovirajo forenzično analizo.

Kar zadeva šifriranje, so družine, kot sta WannaCry in Petya, uporabljale robustne algoritme, kot sta AES in RSA , ki so bili implementirani tako, da je teoretično nemogoče obrniti postopek brez ustreznega ključa. Druge, kot so XORIST, XORBAT in Stampado, so se odločile za lastne algoritme ali prilagoditve, ki so se v nekaterih primerih izkazale za ranljive za kriptografsko analizo.

Orodja za razkuževanje in dešifriranje: primer Trend Micro

Kot odgovor na porast napadov je ekosistem kibernetske varnosti začel izdajati orodja za dešifriranje za vse večje število družin izsiljevalske programske opreme , kar žrtvam omogoča, da si brezplačno obnovijo svoje podatke. Pomemben primer je Trend Micro Ransomware File Decryptor, ki podpira različice, kot so CryptXXX, TeslaCrypt, SNSLocker, AutoLocky, BadBlock, 777, XORIST, XORBAT, CERBER, Stampado, Nemucod, Chimera, LECHIFFRE, MirCop, Jigsaw, Globe/Purge, DXXD, Teamxrat/Xpan, Crysis, TeleCrypt, DemoTool, WannaCry in Petya.

Če ga želite uporabiti, prenesite orodje, izvlecite njegovo vsebino in zaženite datoteko RansomwareFileDecryptor.exe . Po sprejetju licenčne pogodbe vam vmesnik omogoča, da izberete družino izsiljevalske programske opreme, določite lokacijo šifriranih datotek in začnete postopek dešifriranja ali pa si ogledate vodnike za obnovitev datotek s trdega diska.

V nekaterih različicah (na primer CyptXXX V1, XORIST, XORBAT, NEMUCOD ali TeleCrypt) orodje za sklepanje o ključu ali metodi obnovitve potrebuje dve datoteki: eno šifrirano in eno čisto kopijo. Priporočljivo je, da so te datoteke čim večje, da se olajša analiza.

Postopek ni brez omejitev. CryptXXX V3 omogoča le delno dešifriranje in lahko za določene vrste datotek zahteva dodatna orodja. BadBlock lahko šifrira kritične sistemske komponente, kar oteži čas zagona. CERBER zahteva, da se dešifriranje izvede na samem okuženem računalniku, trajanje pa je odvisno od zmogljivosti procesorja. Globe/Purge uporablja surovo silo in lahko traja zelo dolgo, poleg tega pa ima težave z nosilci FAT32.

V primeru virusa WannaCry se dešifriranje zanaša na iskanje zasebnega ključa v pomnilniku aktivnega procesa , zato deluje le, če izsiljevalska programska oprema še vedno deluje, in je še posebej učinkovito v sistemih Windows XP. Petya pa po obnovi šifrirnega ključa iz spremenjenega MBR zahteva posebne korake za obnovitev operacijskega sistema.

Kljub tem omejitvam obstoj orodij za dešifriranje znatno zmanjša ekonomsko spodbudo za napadalce . Vsakič, ko je izdan učinkovit dešifrirator, se odstotek žrtev, ki so pripravljene plačati, zmanjša, kar pritiska na kriminalni poslovni model. Vendar pa se skupine običajno hitro odzovejo, odpravijo ranljivosti in izdajo nove, odpornejše različice.

Priporočila za zaščito pred večplatformsko izsiljevalsko programsko opremo

Glede na ta scenarij se strokovnjaki strinjajo, da sta preprečevanje in zgodnje odkrivanje ključnega pomena . Nekateri ukrepi, ki jih priporočajo Kaspersky, ESET in drugi ponudniki varnostnih storitev, vključujejo:

• Ne izpostavljajte storitev oddaljenega namizja (RDP) ali drugega skrbniškega dostopa neposredno na internet, razen če je to nujno potrebno, in vedno zaščiteno z močnimi gesli, večfaktorsko autentifikacijo (MFA) in, če je mogoče, VPN.
• Osredotočite obrambno strategijo na zaznavanje stranskih premikov in iztekanje podatkov, pri čemer pozorno spremlja odhodni promet in nenavadne povezave z zunanjimi strežniki.
• Izvajanje rešitev EDR/XDR in upravljanih storitev zaznavanja (kot so Kaspersky EDR Expert, Managed Detection and Response ali Cortex XDR/XSIAM), ki združujejo vedenjsko analizo, strojno učenje in korelacijo dogodkov za prepoznavanje sumljivih dejavnosti v zgodnjih fazah.
• Usposabljanje in ozaveščanje zaposlenih s posebnimi programi usposabljanja, kar zmanjšuje verjetnost, da bodo nasedli lažnim e-poštnim sporočilom ali namestili zlonamerno programsko opremo.
• Ostanite na tekočem z obveščevalnimi podatki o grožnjah, pri čemer izkoriščajo specializirane portale, ki zbirajo informacije o aktivnih kampanjah, IoC-jih in dejanskih TTP-jih, ki jih uporabljajo napadalci.
• Proaktivno upravljajte površino napada, pri čemer se z orodji za upravljanje površin napadov, kot je Cortex Xpanse, identificirajo ranljive storitve, izpostavljene internetu (kot je Atlassian Crowd Server, na katerega vpliva CVE-2019-11580).

Za tiste, ki sumijo, da so bili žrtve resnega incidenta, specializirane enote, kot je Enota 42, ponujajo nujno podporo prek namenskih telefonskih linij v Severni Ameriki, Evropi, Aziji in Pacifiku, na Japonskem, v Avstraliji, Indiji in Južni Koreji. Poleg tega pobude, kot je Zavezništvo za kibernetske grožnje, omogočajo izmenjavo tehničnih obveščevalnih podatkov med varnostnimi podjetji, da bi pospešile razvoj zaščitnih ukrepov in prekinile kriminalne mreže.

Organizacije se prav tako spodbujajo, da poskuse goljufij, kibernetske napade ali znake ogrožanja prijavijo svojim nacionalnim CERT-om, ustreznim organom pregona in svojim ponudnikom kibernetske varnosti. Več informacij, ki jih delimo, lažje je prepoznati vzorce in ustaviti tekoče kampanje.

Trenutna situacija jasno kaže, da je medplatformska izsiljevalska programska oprema iz tehnične redkosti postala standard med najbolj aktivnimi skupinami , ki ga podpirajo jeziki, kot sta Rust in Go, modeli RaaS, izkoriščanje okolij ESXi, integracija umetne inteligence in dvojne ali trojne izsiljevalske kampanje. Soočeni s tem scenarijem je kombinacija preprečevanja, naprednega spremljanja, usklajenega odzivanja in javnih pobud za dešifriranje postala bistvena za nadaljnje delovanje v vse bolj sovražnem digitalnem okolju.