Как не стать жертвой вируса-вымогателя?

Активность вымогательского ПО значительно возросла этой осенью. Об этом свидетельствуют многочисленные инциденты ИБ.

Так, в этот период были зафиксированы атаки вируса-вымогателя Ryuk на мебельного гиганта Steelcase, крупнейшего производителя очков Luxottica, поставщика ПО и ИТ-услуг для госсектора США Tyler Technologies и другие компании.

ИБ-эксперты обнаружили несколько новых вариантов ransomeware ПО: апргрейд LeakThemAll, STOP, Matrix, Netfilim, а также новые вирусы Dusk v1.0., Dusk v1.0., .zhen и .CRPTD (названия для них еще в работе).

Компания Varonis заявила в своем исследовании, что 43% кибератак в октябре занимают программы-вымогатели. Русскоязычный интернет, по данным Group-IB, особенно страдает от вирусов-вымогателей OldGremlin. А компания Check Point выделяет вымогатель Ryuk как наиболее распространенный в руcскоязычном сегменте сети.

Прекращение деятельности владельцев вируса-вымогателя Maze послужило драйвером перехода хакерских групп на другое ransomeware. Наиболее популярной альтернативой стал вирус-вымогатель Egregor, возможно являющийся развитием вируса Maze. Череда атак с использованием Egregor уже прокатилась по миру и будет набирать обороты. Среди пострадавших – чилийский ритейлер Cencosud.

Особенностью атак Egregor является вывод на печать сообщений с требованием выкупа со всех устройств, в том числе кассовых аппаратов. Это делает атаку сложной для сокрытия.

кассовый аппарат под атакой.jpg

Вымогатели используют различную механику заражения. В основном шаги включают:

  • Исследование: обзор сети и сканирование портов, домена, сбор паролей хоста с помощью Mimikatz,

  • Загрузка набора вредоносных инструментов,

  • Эскалация привилегий,

  • Отключение антивирусной защиты, уничтожение резервных копий,

  • Горизонтальное распространение,

  • Запуск вируса-вымогателя: создание и обмен ключами, шифрование или уничтожение данных, запуск сообщений о выкупе, уничтожение следов деятельности и т.д.

Зачастую атакующие не дают ключей для восстановления данных даже после внесения требуемых залогов. Злоумышленники используют это как повод для дальнейшего вымогательства или для исчезновения с горизонта видимости. И, к сожалению, данные, несмотря на выкуп, все равно будут проданы на черном рынке.

Создание грамотной эшелонированной защиты инфраструктуры и особенно пользователей ИТ позволит значительно снизить риски заражения. Для этого эксперты группы компаний Angara рекомендуют предпринимать следующие шаги:

  • Тщательно сканировать входящие каналы данных, в первую очередь e-mail, а также интернет-трафик.

  • Использовать достаточные механизмы защиты конечных узлов. Кроме антивирусной защиты, использовать поведенческие механизмы EDR.

  • Выстроить систему оперативного мониторинга и реагирования на внутренние и внешние угрозы. Использовать средства поведенческого анализа внутренней сетевой активности для обнаружения горизонтального распространения вредоносного ПО.

  • Повышать осведомленность пользователей в области ИБ и рисков подобных атак из-за неосторожных действий любого из пользователей. В вопросе ИБ нет незначительных участников информационного обмена.

Группа компаний Angara имеет в своем портфеле наборы услуг по каждому из озвученных пунктов, подходящих как крупному, так и среднему и малому бизнесу. По всем вопросам можно обратиться к менеджерам по e-mail info@angaratech.ru или телефону 8-495-269-26-06.

Другие публикации

Как не стать жертвой мошенников: рекомендации по настройке аккаунта в Telegram

Каждое юрлицо – это оператор персональных данных, который собирает большое количество личной информации: ФИО, номера телефонов, адреса, банковские данные.

актуально

26.07.2024

Повышение информационной безопасности АСУ ТП: практический кейс

Михаил Сухов, руководитель отдела анализа защищенности Angara Security, подготовил для Anti-malware статью о пентесте на одном из предприятий промышленного сектора.

06.06.2024

Angara Security: в России выявлены мошеннические площадки для сбора персональных данных в преддверии ЕГЭ и ОГЭ

Аналитики Angara Security выявили, что в апреле 2024 года были зарегистрированы домены, которые используют тематику подготовки к единому государственному экзамену.

31.05.2024

Лада Антипова, Angara Security: Неквалифицированное реагирование на инцидент только усугубит последствия для компании

При возникновении инцидента сотрудники компании без отдела ИБ рискуют совершить ошибки, которые затруднят расследование киберпреступления и могут привести к потере ценных данных. Лада Антипова, руководитель отдела реагирования и цифровой криминалистики Angara SOC, рассказала порталу Cyber Media.

актуально

29.05.2024

Перспективы российских облачных сервисов в условиях санкций

Денис Бандалетов, руководитель отдела сетевых технологий Angara Security, принял участие в подготовке материала об облачных сервисах и выборе решений с учетом задач инфраструктуры заказчиков для Коммерсантъ.

актуально

23.05.2024

Остались вопросы?

Понравилась статья?

Подпишитесь на уведомления о новых материалах