WastedLocker: En kompleks ransomware -variant, der er målrettet mod store virksomheder

Ransomware er en type ondsindet software designet til at låse filer på en computer eller et system, indtil der er betalt en løsesum. En af de første ransomwares, der nogensinde blev dokumenteret, var PC Cyborg fra 1989 - den krævede en ringe løsesum på 189 dollar for at dekryptere låste filer.

Computarteknologi er gået langt siden 1989, og ransomware har udviklet sig sammen med det, hvilket har ført til komplekse og potente varianter som WastedLocker. Så hvordan fungerer WastedLocker? Hvem er blevet påvirket af det? Og hvordan kan du beskytte dine enheder?

Hvad er WastedLocker, og hvordan fungerer det?

WastedLocker blev først opdaget i begyndelsen af ​​2020 og drives af de berygtede hackergruppe Evil Corp., som også er kendt som INDRIK SPIDER eller Dridex -banden, og sandsynligvis har bånd til russiske efterretningsagenturer.

Det amerikanske finansministeriums kontor for kontrol af udenlandske aktiver udstedte sanktioner mod Evil Corp i 2019 og justitsministeriet anklagede den påståede leder Maksim Yakubets, som har tvunget gruppen til at ændre taktik.

WastedLocker -angreb begynder typisk med SocGholish, en Remote Access Trojan (RAT), der efterligner browser- og Flash -opdateringer for at narre målet til at downloade ondsindede filer.

RELATEREDE: Hvad er en Trojan til fjernadgang?

Når målet har downloadet den falske opdatering, krypterer WastedLocker effektivt alle filer på deres computer og tilføjer dem med "spildt", hvilket ser ud til at være et nik til internet memes inspireret af Grand Theft Auto videospil serie.

Så for eksempel vil en fil, der oprindeligt hed "muo.docx", vises som "muo.docx.wasted" på en kompromitteret maskine.

For at låse filer bruger WastedLocker en kombination af Advanced Encryption Standard (AES) og Rivest-Shamir-Adleman (RSA) krypteringsalgoritmer, hvilket gør dekryptering praktisk talt umulig uden ondskab Corp's private nøgle.

AES -krypteringsalgoritmen bruges af finansielle institutioner og regeringer - National Security Agency (NSA) bruger den f.eks. Til at beskytte tophemmelige oplysninger.

Opkaldt efter tre Massachusetts Institute of Technology (MIT) forskere, der først offentligt beskrev det i 1970'erne er RSA -krypteringsalgoritmen betydeligt langsommere end AES og bruges mest til at kryptere små mængder data.

WastedLocker efterlader en løsesum for hver fil, den krypterer, og henviser offeret til at kontakte angriberne. Meddelelsen indeholder typisk en Protonmail-, Eclipso- eller Tutanota -e -mailadresse.

Løsepenge -sedlerne er normalt tilpasset, nævner målorganisationen ved navn og advarer mod at kontakte myndighederne eller dele kontakt -e -mails med tredjeparter.

Designet til at målrette mod store virksomheder, kræver malware normalt løsepenge på op til $ 10 millioner.

WastedLockers højprofilerede angreb

I juni 2020, Symantec afdækkede 31 WastedLocker-angreb på amerikanske virksomheder. Langt de fleste målrettede organisationer var store husstandsnavne og 11 var Fortune 500 -virksomheder.

Ransomware sigtede mod virksomheder i forskellige sektorer, herunder fremstilling, informationsteknologi og medier og telekommunikation.

Evil Corp overtrådte netværkene fra målrettede virksomheder, men Symantec formåede at forhindre hackerne i at implementere WastedLocker og opbevare data til løsepenge.

Det reelle samlede antal angreb kan være meget højere, fordi ransomware blev implementeret gennem snesevis af populære, legitime nyhedswebsteder.

Det er overflødigt at sige, at virksomheder, der er milliarder af dollars værd, har beskyttelse i top, hvilket taler meget om, hvor farlig WastedLocker er.

Samme sommer implementerede Evil Corp WastedLocker mod det amerikanske GPS- og fitness-tracker-selskab Garmin, der anslås at have en årlig omsætning på over 4 milliarder dollars.

Som det israelske cybersikkerhedsfirma Votiro bemærket dengang, angrebet lamslog Garmin. Det forstyrrede mange af virksomhedens tjenester og havde endda en effekt på callcentre og nogle produktionslinjer i Asien.

Garmin betalte angiveligt en løsesum på 10 millioner dollars for at genvinde adgang til sine systemer. Det tog virksomhedens dage at få sine tjenester i gang, hvilket formodentlig forårsagede massive økonomiske tab.

Selvom Garmin tilsyneladende syntes at betale løsepenge var den bedste og mest effektive måde at løse situationen på, er det vigtigt at bemærke at man aldrig bør stole på cyberkriminelle - nogle gange har de ikke noget incitament til at angive en dekrypteringsnøgle efter at have modtaget løsepenge betaling.

Generelt er den bedste fremgangsmåde i tilfælde af et cyberangreb at kontakte myndighederne straks.

Desuden pålægger regeringer over hele verden sanktioner mod hackergrupper, og nogle gange disse sanktioner også gælde for personer, der indsender eller letter en løsesum, så der er også juridiske risici forbundet med overveje.

Hvad er Hades Variant Ransomware?

I december 2020 opdagede sikkerhedsforskere en ny ransomware -variant kaldet Hades (for ikke at være forveksles med 2016 Hades Locker, som normalt indsættes via e -mail i form af et MS Word vedhæftet fil).

En analyse fra CrowdStrike fandt ud af, at Hades i det væsentlige er en 64-bit kompileret variant af WastedLocker, men identificerede flere vigtige forskelle mellem disse to malware-trusler.

I modsætning til WastedLocker efterlader Hades f.eks. Ikke en løsesumsnota for hver fil, den krypterer - den opretter en enkelt løsesum. Og den gemmer nøgleoplysningerne i krypterede filer, i modsætning til at gemme den i løsepenge -sedlen.

Hades -varianten efterlader ikke kontaktoplysninger; det leder i stedet ofre til et Tor -websted, der er tilpasset hvert mål. Tor -webstedet tillader ofret at dekryptere en fil gratis, hvilket åbenbart er en måde for Evil Corp at demonstrere, at dets dekrypteringsværktøjer rent faktisk fungerer.

Hades har primært målrettet store organisationer baseret i USA med en årlig omsætning på over $ 1 milliarder, og dens implementering markerede endnu et kreativt forsøg fra Evil Corp på at mærke og unddrage sig sanktioner.

Sådan beskytter du mod WastedLocker

Med stigende cyberangreb investerer du i værktøjer til beskyttelse af ransomware er et absolut must. Det er også bydende nødvendigt at holde software opdateret på alle enheder for at forhindre cyberkriminelle i at udnytte kendte sårbarheder.

Sofistikerede ransomware -varianter som WastedLocker og Hades har mulighed for at bevæge sig sideværts, hvilket betyder, at de kan få adgang til alle data på et netværk, herunder cloud -lagring. Derfor er opretholdelse af en offline backup den bedste måde at beskytte vigtige data mod ubudne gæster.

Da medarbejdere er den mest almindelige årsag til brud, bør organisationer investere tid og ressourcer i at uddanne personale om grundlæggende sikkerhedspraksis.

I sidste ende er implementering af en Zero Trust -sikkerhedsmodel uden tvivl den bedste måde at sikre en organisation på er beskyttet mod cyberangreb, herunder dem, der udføres af Evil Corp og anden statsstøttet hacker grupper.

Hvad er et Zero Trust -netværk, og hvordan beskytter det dine data?

Ønsker du at beskytte din virksomhed mod cyberkriminelle? VPN'er er gode, men de er muligvis ikke så effektive som ZTN'er med software-definerede perimeter.

Læs Næste

Om forfatteren