Sophos odhalil novou verzi ransomwaru Snatch

16. 12. 2019. (redaktor: František Doupal, zdroj: Sophos)
Společnost Sophos detailně popsala měnící se metody útoku ransomwaru Snatch, který byl poprvé zaznamenán v prosinci 2018, včetně útoku využívajícího restartování počítačů do nouzového režimu, kterým se pokouší obejít behaviorální ochranu, detekující aktivitu ransomwaru.

Sophos je přesvědčený, že jde o novou techniku útoku, se kterou přišli kyberútočníci, aby překonali ochranu počítačů.

Přesně podle trendu zaznamenaného ve studii SophosLabs’ 2020 Threat Report se kyberzločinci stojící za ransomwarem Snatch nyní snaží získat data, než začne samotný útok ransomwaru. Stejný přístup dříve využily také ostatní ransomwarové skupiny jako třeba Bitpaymer. Sophos očekává, že tato sekvence exfiltrování dat před jejich zašifrováním ransomwarem bude pokračovat. Pokud se firmy, které jsou povinné dodržovat GDPR, nadcházející California Consumer Privacy Act a ostatní předpisy či zákony na ochranu dat, stanou obětí ransomwaru Snatch, budou o tom možná muset informovat regulační orgány.

Snatch je příkladem automatizovaného aktivního útoku, který je popisován i ve studii SophosLabs’ 2020 Threat Report. Jakmile útočníci vniknou do sítě zneužitím služeb vzdáleného přístupu, využijí hackerské postupy k úhybným manévrům a napáchání škod. Zpráva o ransomwaru Snatch popisuje, že útočníci získávají přístup prostřednictvím nezabezpečených IT služeb vzdáleného přístupu, jako je (nejen) Remote Desktop Protocol (RDP). Zpráva ukazuje příklady, kdy útočníci využívající Snatch rekrutují na fórech dark webu potenciální spolupracovníky schopné kompromitovat služby vzdáleného přístupu. Níže je snímek konverzace v ruštině z fóra na dark webu, kde se uvádí: „Hledáme spolupracovníky s přístupem k RDP\VNC\TeamViewer\WebShell\SQLinj v korporátních sítích, obchodech a dalších společnostech.

Doporučení pro obranu:

  • Buďte proaktivní při pátrání po hrozbách: Využijte interní nebo externí expertní bezpečnostní tým pro nepřetržité monitorování hrozeb. 
  • Umožněte využití strojového či hloubkového učení, aktivního zmírnění útoků a behaviorální detekce k zabezpečení koncových bodů.
  • Kde je to možné, identifikujte a vypněte služby vzdáleného přístupu vystavené do veřejného internetu.
  • Pokud je vzdálený přístup nezbytný, použijte VPN s nejlepším ověřeným způsobem dvoufaktorové autentikace, auditováním hesel a precizní kontrolou přístupů společně s aktivním monitorováním vzdáleného přístupu.
  • Všechny servery se vzdáleným přístupem otevřeným do veřejného internetu musí mít instalovány všechny bezpečnostní záplaty, musí být chráněny preventivními prostředky (jako je bezpečnostní software na ochranu koncových bodů) a aktivně monitorovány na anomálie při přihlašování a jiné abnormální chování.
  • Uživatelé přihlášení ke službám vzdáleného přístupu by měli mít omezená oprávnění pro zbývající části podnikové sítě.
  • Administrátoři by měli nasadit vícefaktorové ověřování a používat administrátorský účet oddělený od jejich běžného uživatelského účtu.
  • Aktivně monitorujte otevřené RDP ve veřejném prostoru IP adres.

Další informace a technické detaily o ransomwaru Snatch najdete v článku SophosLabs Uncut.

Zajímavost: Ukazuje se, že název „Snatch“ nebyl zvolen náhodou. V dřívějších verzích ransomwaru obsahovalo oznámení požadavku na výkupné e-mailovou adresu „imBoristheBlade@protonmail.com“, která vypadá jako odkaz na film Guye Ritchieho Snatch z roku 2000, u nás uvedeného pod názvem Podfu(c)k. V něm je i postava bývalého agenta KGB připomínajícího Rasputina a pojmenovaného Boris the Blade, která je bita, střelena i pobodána často s malým až žádným efektem na jeho schopnost vstát a pokračovat v boji.

Štítky: 

Podobné články

S ransomwarem se setkává stále více českých organizací

15. 11. 2019. (redaktor: František Doupal, zdroj: Acronis)
Podle lokálního průzkumu společnosti Acronis provedeného mezi účastníky konferencí Acronis Roadshow v Praze a Ostravě zmínilo 29 % podnikových uživatelů ransomwarové útoky jako hlavní příčinu ztráty dat v organizaci, což je o 12 procentních bodů více než vloni. Čtěte více

WannaCry stále infikuje miliony systémů

4. 10. 2019. (redaktor: František Doupal, zdroj: Sophos)
Sophos ve zprávě WannaCry Aftershock popisuje nechvalně slavný malware WannaCry, který v roce 2017 během několika dní infikoval stovky tisíc počítačů. Výzkum SophosLabs ukázal, že hrozba WannaCry je stále aktuální a každý měsíc jsou zastaveny miliony útoků. Ukázalo se navíc, že přestože původní malware už nebyl dále aktualizován, dal vzniknout tisícům krátkodobých variant. Čtěte více

Počet bezsouborových útoků vzrostl o 265 %

13. 9. 2019. (redaktor: František Doupal, zdroj: Trend Micro)
Zpráva firmy Trend Micro zaměřená na prvních šest měsíců roku 2019 odhalila nárůst útoků, které díky bezsouborové (fileless) formě lépe maskují své škodlivé aktivity – ve srovnání s prvním pololetím 2018 vzrostl počet detekcí tohoto typu malwaru o 265 %. Čtěte více

Ransomware stále více cílí na výrobní odvětví

12. 9. 2019. (redaktor: František Doupal, zdroj: Acronis)
Podle společnosti Acronis se stále častější obětí ransomwarových útoků stávají výrobní firmy. Dle aktuální studie společnosti Ponemon jsou průměrné náklady na stojící výrobní linku 22 000 USD každou hodinu. V případě zašifrování dat ransomwarem proto řada výrobních firem pod tlakem zvažuje i variantu zaplacení výkupného. Čtěte více