Ransomware dokáže šifrovat cloudová data

Ransomware je malý jako zrnko písku, je všude. A dokážou zašifrovat víc, než si myslíte. Zničení vašich osobních souborů je velká ztráta, ale když Ransomware napadne vaše kopie, tato bolest se ještě zvýší.

Existuje několik variant ransomwaru, které útočí nejen na pevné disky, ale i na jiné systémové disky, a ani cloudové disky nejsou mimo jejich dohled. Je tedy na čase, abyste si přesně prohlédli, jaké zálohy souborů jsou a kde jsou kopie uchovávány.

Ransomware útočí všude

Víme, že útok ransomwaru může být zničující. Ransomware je zvláštní překážkou, protože jeho cílovými soubory jsou obrázky, hudba, filmy a dokumenty všeho druhu. Váš pevný disk obsahuje osobní, pracovní a obchodní soubory, které jsou hlavním cílem šifrování. Po zašifrování se zobrazí zpráva o výkupném požadující platbu – obvykle v těžko dohledatelných bitcoinech – za bezpečné uvolnění vašich souborů.

A ani potom neexistuje žádná záruka, že obdržíte šifrovací heslo nebo dešifrovací nástroj.

CryptoLocker

CryptoLocker je varianta šifrovacího ransomwaru, který dokáže zašifrovat více vašich pevných disků. Poprvé se objevil v roce 2013 a šířil se prostřednictvím infikovaných e-mailových příloh. Když je CryptoLocker nainstalován do počítače, může na pevném disku vyhledat konkrétní seznam přípon souborů. Kromě toho skenuje všechny disky připojené k zařízení, ať už je to USB nebo síť.

Síťový disk s přístupem pro čtení/zápis bude šifrován stejně jako pevný disk. Je to výzva pro podniky, kde zaměstnanci přistupují ke sdíleným síťovým složkám.

Naštěstí bezpečnostní výzkumníci uvolnili kopii databáze obětí CryptoLocker a porovnali každé šifrování. Vytvořili portál Decrypt CryptoLocker, který má obětem pomoci dešifrovat jejich soubory.

Evoluce: CryptoFortress

Objevil se CryptoLocker a tvrdil, že má 500 000 obětí. Podle Keitha Jarvise z Dell SecureWorks mohl CryptoLocker během prvních 100 dnů od vyděračské operace obdržet 30 milionů dolarů (pokud by každá oběť zaplatila 300 dolarů jako výkupné, šlo by to až na 150 milionů dolarů). Odstranění CryptoLockeru však není začátkem prevence mapování síťových ovladačů ransomwaru.

CryptoFortress byl objeven v roce 2015 bezpečnostním výzkumníkem Kafeinem. Má vzhled a přístup TorrentLocker, ale jeden z klíčových vylepšení; umí zašifrovat nenamapované síťové ovladače.

Ransomware obvykle načte seznam namapovaných síťových disků, například C:, D:, E: atd. Poté disky prohledá, porovná přípony souborů a poté je zašifruje. Zašifruje odpovídající soubory. CryptoFortress navíc vyjmenovává všechny otevřené síťové sdílené položky Server Message Block (SMB) a zašifruje vše, co najde.

Locky

Locky je další variantou ransomwaru, který se proslavil změnou jednotlivých souborů na .locky, stejně jako wallet.dat – bitcoinová peněženka. Locky se také zaměřuje na soubory v počítačích nebo na soubory na nemapovaných síťových sdílených položkách, přičemž v procesu mění soubory. Tento chaos ztěžuje proces obnovy.

Navíc Locky nemá dekodér.

Ransomware v cloudu

Ransomware obchází síťovou a počítačovou fyzickou paměť a také překračuje cloudová data. To je důležitá otázka. Cloudové úložiště je často nabízeno jako jedna z nejbezpečnějších možností zálohování, která udržuje vaše data zálohovaná mimo interní síťové sdílené položky, čímž vytváří izolaci od okolních nebezpečí. Ale bohužel varianty ransomwaru toto zabezpečení obešly.

Podle zprávy o stavu cloudu společnosti RightScale 82 % podniků používá multicloudovou strategii. A další studie (ebook Slideshare) společnosti Intuit ukazuje, že do roku 2020 bude 78 % malých podniků využívat cloudové funkce. Tento radikální posun ze strany velkých i malých podniků dělá z cloudových služeb primární cíl pro prodejce ransomwaru.

Ransom_Cerber.cad

Prodejci malwaru najdou způsob, jak tento problém obejít. Sociální inženýrství a e-mailový phishing jsou klíčové nástroje a lze je použít k obcházení robustních bezpečnostních kontrol. Bezpečnostní výzkumníci Trend Micro našli speciální variantu ransomwaru s názvem RANSOM_CERBER.CAD. Je určen pro domácí a firemní uživatele Microsoft 365, cloud computingu a platforem produktivity.

Varianta Cerber dokáže zašifrovat 442 typů souborů pomocí kombinace AES-265 a RSA, upravit nastavení zóny aplikace Internet Explorer v počítači, odstranit stínové kopie, zakázat opravu spouštění systému Windows a ukončit programy Outlook, The bat!, Thunderbird a Microsoft Word.

Navíc, a to je chování prezentované jinými variantami ransomwaru, Cerber se dotazuje na geografickou polohu postiženého systému. Pokud je hostitelský systém členem Společenství nezávislých států (bývalé země Sovětského svazu jako Rusko, Moldavsko a Bělorusko), ransomware se automaticky ukončí.

Mrak jako nástroj kontaminace

Ransomware Petya se poprvé objevil v roce 2016. Několik pozoruhodných věcí na této variantě je první, Petya dokáže zašifrovat celý Master Boot Record (MBR) osobního počítače, což způsobí zhroucení systému. zelený obrázek. Tím je celý systém nepoužitelný. Po restartu se místo toho zobrazila poznámka o výkupném Petya s obrázkem lebky a žádostí o platbu v bitcoinech.

Za druhé, Petya se rozšířila do několika systémů prostřednictvím infikovaného souboru uloženého na Dropboxu, maskovaného jako shrnutí. Odkaz je maskovaný jako detaily aplikace, když ve skutečnosti odkazuje na samorozbalovací spustitelný soubor pro instalaci ransomwaru.

Naštěstí anonymní programátor našel způsob, jak prolomit Péťovo šifrování. Tato metoda je schopna detekovat šifrovací klíč potřebný k odemknutí MBR a uvolnění zachycených souborů.

Používání cloudových služeb k šíření ransomwaru je pochopitelné. Uživatelé byli vyzváni, aby k zálohování dat používali řešení cloudových úložišť, protože poskytují další vrstvu zabezpečení. Bezpečnost je klíčem k úspěchu cloudových služeb. Důvěru uživatelů v zabezpečení cloudu však lze zneužít ke špatným účelům.

Ve zkratce

Cloudové úložiště, namapované nebo nenamapované síťové ovladače a systémové soubory zůstávají zranitelné vůči ransomwaru. To už není novinka. Distributoři malwaru se však aktivně zaměřují na záložní soubory, což zvyšuje úroveň úzkosti uživatelů. Naopak je třeba přijmout další opatření .

Domácí a firemní uživatelé by měli zálohovat důležité soubory na vyměnitelné pevné disky. Provedení akce je akce, která vám pomůže obnovit systém po nechtěné infekci ransomware z nedůvěryhodného zdroje.