Com tractar amb el Ransomware Ragnar Locker (05.20.24)

El ransomware és un programari maliciós molt desagradable perquè els atacants exigeixen a la víctima que pagui les seves dades importants per ser alliberades com a ostatges. El programari de rescat infecta el dispositiu de la víctima de manera secreta, xifra les dades importants (inclosos els fitxers de còpia de seguretat) i, a continuació, deixa instruccions sobre quant s’ha de pagar i com s’ha de pagar. Després de totes aquestes molèsties, la víctima no té cap garantia que l'atacant realitzi la clau de desxifratge per desbloquejar els fitxers. I si alguna vegada ho fan, és possible que alguns dels fitxers es corrompin i, al final, els tornin inútils.

Amb el pas dels anys, l’ús de ransomware ha anat creixent en popularitat perquè és la forma més directa de guanyar diners pels pirates informàtics. Només han d’eliminar el programari maliciós i esperar que l’usuari enviï diners a través de Bitcoin. Segons dades d’Emsisoft, el nombre d’atacs de ransomware el 2019 va augmentar un 41% respecte a l’any anterior, afectant al voltant de 1.000 organitzacions dels Estats Units. Cybersecurity Ventures fins i tot va predir que el ransomware atacaria les empreses cada 11 segons.

A principis d’aquest any, Ragnar Locker, una nova varietat de programari maliciós, va atacar Energias de Portugal (EDP), una companyia portuguesa d’electricitat, amb seu a Lisboa. . Els atacants van exigir 1.580 bitcoins com a rescat, que equival a uns 11 milions de dòlars.

Què és Ragnar Locker Ransomware?

Ragnar Locker és un tipus de programari maliciós de tipus ransomware creat no només per xifrar dades, sinó també per eliminar aplicacions instal·lades, com ConnectWise i Kaseya, que solen utilitzar els proveïdors de serveis gestionats i diversos serveis de Windows. Ragnar Locker canvia el nom dels fitxers xifrats afegint una extensió única composta per la paraula ragnar seguida d'una sèrie de nombres i caràcters aleatoris. Per exemple, un fitxer amb el nom A.jpg canviarà el nom a A.jpg.ragnar_0DE48AAB.

Després de xifrar els fitxers, crea un missatge de rescat mitjançant un fitxer de text, amb el mateix format de nom que amb l’exemple anterior. El missatge de rescat es podria anomenar RGNR_0DE48AAB.txt.

Aquest ransomware només s'executa en equips Windows, però encara no està segur si els autors d'aquest programari maliciós també han dissenyat una versió per a Mac de Ragnar Locker. Normalment s’orienta a processos i aplicacions que solen utilitzar els proveïdors de serveis gestionats per evitar que es detecti i aturi el seu atac. Ragnar Locker només s’adreça a usuaris de parla anglesa.

El ransomware Ragnar Locker es va detectar per primera vegada cap a finals de desembre de 2019, quan es va utilitzar com a part d’atacs contra xarxes compromeses. Segons experts en seguretat, l'atac de Ragnar Locker al gegant energètic europeu va ser un atac ben pensat i planificat a fons.

Aquí teniu un exemple del missatge de rescat de Ragnar Locker:

Hola *!

*******************

Si llegiu aquest missatge, la vostra xarxa estaria PENETRADA i tots els vostres fitxers i les dades han estat ENCIFRADES

per RAGNAR_LOCKER.

********************

********* Què passa amb el vostre sistema? * ***********

La vostra xarxa s'ha penetrat, tots els vostres fitxers i còpies de seguretat s'han bloquejat. Per tant, a partir d’ara NINGÚ PODEU AJUDAR-VOS a recuperar els vostres fitxers, EXCEPTE NOSALTRES.

Podeu cercar-lo a Google, no hi ha PROBACIONS de desxifrar dades sense la nostra CLAU SECRETA.

Però no us preocupeu! Els vostres fitxers NO S’HAN DANYAT ni PERDUT, sinó que només es modifiquen. Podeu recuperar-lo tan bon punt hàgiu de PAGAR.

Només busquem diners, de manera que no hi ha cap interès per fer servir o suprimir la vostra informació, és només un BUSINESS $ -)

Tanmateix, podeu danyar les vostres DADES per vosaltres mateixos si intenteu DESCRIFRAR-les mitjançant qualsevol altre programari, sense LA NOSTRA CLAU DE ENCRIPTURA ESPECÍFICA.

A més, es va recopilar tota la vostra informació confidencial i privada i, si decidiu NO pagar,

la penjarem per a la visualització pública.

****

*********** Com recuperar els fitxers? ******

Per desxifra tots els vostres fitxers i dades que heu de pagar pel xifratge CLAU:

Cartera BTC per al pagament: *

Import a pagar (en Bitcoin): 25

****

*********** Quant de temps heu de pagar? **********

* Haureu de posar-vos en contacte amb nosaltres en un termini de 2 dies després d’haver notat el xifratge per obtenir un millor preu.

* El preu s'incrementaria un 100% (preu doble) després de 14 dies si no hi ha cap contacte.

* La clau s'esborraria completament en 21 dies si no es realitza cap contacte o no es realitza cap tracte.

Alguna informació sensible robada als servidors de fitxers es carregarà en públic o a revenda.

****

*********** Què passa si els fitxers no es poden restaurar? ******

Per demostrar que realment podem desxifrar les vostres dades, desxifrarem un dels vostres fitxers bloquejats.

Simplement envieu-nos-el i el recuperareu GRATIS.

El preu del desxifrador es basa en la mida de la xarxa, el nombre d'empleats i els ingressos anuals.

Si us plau, no dubti en contactar amb nosaltres per obtenir la quantitat de BTC que s'hauria de pagar.

****

SI no sabeu com obtenir bitcoins, us aconsellarem com canviar els diners.

!!!!!!!!!!!!!

AQUÍ TENIU EL MANUAL SIMPLE DE COM ENCONTACTAR-SE AMB NOSALTRES!

!!!!!!!!!!!!!

1) Aneu al lloc web oficial de TOX messenger (hxxps: //tox.chat/download.html)

2) Descarregueu i instal·leu qTOX al vostre PC, trieu la plataforma (Windows, OS X, Linux, etc.)

3) Obriu Messenger, feu clic a "Perfil nou" i creeu un perfil.

4) Feu clic al botó "Afegeix amics" i cerqueu el nostre contacte *

5) Per identificar-les, envieu les dades d'assistència des de —RAGNAR SECRET—

! SI per alguns motius no ens podeu contactar a qTOX, aquí teniu la nostra bústia de reserva (*) per enviar un missatge amb les dades de —RAGNAR SECRET—

AVÍS!

-No proveu de desxifrar fitxers amb cap programari de tercers (es deteriorarà permanentment)

-No torneu a instal·lar el sistema operatiu, això pot provocar la pèrdua de dades i els fitxers no es pot desxifrar. MAI!

-La vostra CLAU SECRETA per al desxifratge es troba al nostre servidor, però no s’emmagatzemarà per sempre. NO PERDES EL TEMPS !

********************

—RAGNAR SECRET—

*

—RAGNAR SECRET—

********************

Què fa el Ragnar Locker?

Ragnar Locker es lliura generalment mitjançant eines MSP com ConnectWise, en què els cibercriminals llancen un fitxer executable de ransomware molt orientat. Aquesta tècnica de propagació ha estat utilitzada per un ransomware altament maliciós anterior, com Sodinokibi. Quan es produeix aquest tipus d’atac, els autors del ransomware s’infiltren en organitzacions o instal·lacions mitjançant connexions RDP no segures o mal protegides. A continuació, utilitza eines per enviar scripts Powershell a tots els punts finals accessibles. A continuació, els scripts descarreguen una càrrega útil mitjançant Pastebin dissenyada per executar el ransomware i xifrar els punts finals. En alguns casos, la càrrega útil es presenta com un fitxer executable que s'inicia com a part d'un atac basat en fitxers. També hi ha casos en què es descarreguen scripts addicionals com a part d'un atac complet sense fitxers.

Ragnar Locker es dirigeix ​​específicament al programari que solen dirigir els proveïdors de serveis gestionats, incloses les cadenes següents:

  • vss bsql
  • mepocs
  • sophosveeam respaldo
  • logmein
  • connectwise
  • splashtop
  • kaseya

El ransomware primer roba els fitxers d'un destinatari i el penja als seus servidors. L’únic que té Ragnar Locker és que no simplement xifren els fitxers, sinó que també amenacen la víctima que les dades seran publicades públicament si no s’ha pagat el rescat, com el cas d’EDP. Amb EDP, els atacants van amenaçar amb alliberar els suposats 10 TB de dades robades, cosa que podria suposar una de les fuites de dades més grans de la història. Els atacants van afirmar que tots els socis, clients i competidors seran informats de la infracció i que les seves dades filtrades seran enviades a notícies i imatges de mitjans de comunicació per al consum públic. Tot i que el portaveu d’EDP ha anunciat que l’atac no va tenir cap impacte en el servei d’energia i la infraestructura de la companyia, la preocupació per la violació de dades que s’acosta és

La desactivació de serveis i la finalització de processos són tàctiques habituals que utilitza el programari maliciós per desactivar programes de seguretat, sistemes de còpia de seguretat, bases de dades i servidors de correu. Un cop finalitzats aquests programes, les seves dades es poden xifrar.

Quan es va llançar per primera vegada, Ragnar Locker explorarà les preferències d'idioma de Windows configurades. Si la preferència d'idioma és l'anglès, el programari maliciós continuarà amb el següent pas. Però si Ragnar Locker detecta que l'idioma s'estableix com un dels països de l'URSS, el programari maliciós finalitzarà el procés i no encriptarà l'ordinador.

Ragnar Locker posa en perill les eines de seguretat de l'MSP abans que puguin bloquejar-les. el ransomware no s’executarà. Un cop dins, el malware inicia el procés de xifratge. Utilitza una clau RSA-2048 incrustada per xifrar els fitxers importants.

Ragnar Locker no xifra tots els fitxers. Ometrà algunes carpetes, noms de fitxers i extensions, com ara:

  • kernel32.dll
  • Windows
  • Windows.old Navegador Tor
  • Internet Explorer
  • Google
  • Opera
  • Programari Opera
  • Mozilla
  • Mozilla Firefox
  • $ Recycle.Bin
  • ProgramData
  • Tots els usuaris
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootsect.bak
  • bootmgr
  • bootmgr .efi
  • bootmgfw.efi
  • desktop.ini
  • iconcache.db
  • ntldr
  • ntuser.dat
    • antuser.dat.log utent.ini thumb.db
  • .dll

A part d'afegir una nova extensió de fitxer als fitxers xifrats, Ragnar Locker també afegeix un marcador de fitxer "RAGNAR" al final de cada fitxer xifrat.

A continuació, Ragnar Locker llança un missatge de rescat anomenat ".RGNR_ [extensió] .txt" que conté detalls sobre l'import del rescat, l'adreça de pagament de Bitcoin, un identificador de xat TOX que s'utilitzarà per comunicar-se amb els atacants i una adreça de correu electrònic de seguretat. si hi ha problemes amb TOX. A diferència d'altres programes de rescat, Ragnar Locker no té una quantitat fixa de rescat. Varia segons l'objectiu i es calcula individualment. En alguns informes, l'import del rescat podria variar entre els 200.000 i els 600.000 dòlars. En el cas d’EDP, el rescat que es va demanar va ser de 1.580 bitcoin o 11 milions de dòlars.

Com treure Ragnar Locker

Si el vostre ordinador va tenir la mala sort d’estar infectat amb Ragnar Locker, el primer que heu de fer és comprovar-ho si tots els vostres fitxers han estat xifrats. També heu de comprovar si els vostres fitxers de còpia de seguretat també s’han xifrat. Atacs com aquest posen de manifest la importància de fer una còpia de seguretat de les vostres dades importants, perquè almenys no us haureu de preocupar de perdre l'accés als vostres fitxers.

No intenteu pagar el rescat perquè no servirà de res. No hi ha cap garantia que l'atacant us enviï la clau de desxifratge correcta i que els vostres fitxers mai no es filtraran al públic. De fet, és molt possible que els atacants us continuïn extorsionant diners perquè saben que esteu disposat a pagar.

El que podeu fer és eliminar primer el ransomware del vostre ordinador abans d’intentar desxifrar-lo. això. Podeu utilitzar l'aplicació antivirus o antimalware per escanejar malware a l'ordinador i seguir les instruccions per suprimir totes les amenaces detectades. A continuació, desinstal·leu qualsevol aplicació o extensió sospitosa que pugui estar relacionada amb el programari maliciós.

Finalment, busqueu una eina de desxifrat que coincideixi amb el Ragnar Locker. Hi ha diversos desxifradors dissenyats per a fitxers xifrats per ransomware, però primer heu de consultar el fabricant del vostre programari de seguretat si en tenen un de disponible. Per exemple, Avast i Kaspersky tenen la seva pròpia eina de desxifratge que els usuaris poden utilitzar. Aquí teniu una llista d'altres eines de desxifratge que podeu provar.

Com protegir-vos del Ragnar Locker

El ransomware pot resultar força problemàtic, especialment si no hi ha cap eina de desxifratge capaç de desfer el xifratge del malware . Per protegir el vostre dispositiu contra el programari ransom, en particular Ragnar Locker, aquí teniu alguns dels consells que heu de tenir en compte:

  • Empleneu una política de contrasenyes segura mitjançant una autenticació de doble o de múltiples factors. (MFA) si és possible. Si no és possible, creeu contrasenyes úniques i aleatòries que seran difícils d’endevinar.
  • Assegureu-vos de bloquejar l’ordinador en sortir de l’escriptori. Tant si aneu a dinar, fent un petit descans o simplement aneu al lavabo, bloquegeu l’ordinador per evitar l’accés no autoritzat.
  • Creeu un pla de còpia de seguretat i recuperació de dades, especialment per obtenir informació crítica ordinador. Emmagatzemeu la informació més crítica emmagatzemada fora de la xarxa o en un dispositiu extern si és possible. Proveu aquestes còpies de seguretat periòdicament per assegurar-vos que funcionin correctament en cas de crisi real.
  • Feu que els vostres sistemes s’actualitzin i s’instal·lin amb els darrers pegats de seguretat. El ransomware sol explotar les vulnerabilitats del vostre sistema, així que assegureu-vos que la seguretat del dispositiu sigui hermètica.
  • Desconfieu dels vectors habituals de pesca, que és el mètode de distribució més comú del ransomware. No feu clic a enllaços aleatoris i escanegeu sempre els fitxers adjunts de correu electrònic abans de descarregar-los al vostre ordinador.
  • Instal·leu al vostre dispositiu un programari de seguretat robust i mantingueu la base de dades actualitzada amb les darreres amenaces.

Vídeo de YouTube: Com tractar amb el Ransomware Ragnar Locker

05, 2024