Sophos odhalil novou verzi ransomwaru Snatch

16. 12. 2019. (redaktor: František Doupal, zdroj: Sophos)
Společnost Sophos detailně popsala měnící se metody útoku ransomwaru Snatch, který byl poprvé zaznamenán v prosinci 2018, včetně útoku využívajícího restartování počítačů do nouzového režimu, kterým se pokouší obejít behaviorální ochranu, detekující aktivitu ransomwaru.

Sophos je přesvědčený, že jde o novou techniku útoku, se kterou přišli kyberútočníci, aby překonali ochranu počítačů.

Přesně podle trendu zaznamenaného ve studii SophosLabs’ 2020 Threat Report se kyberzločinci stojící za ransomwarem Snatch nyní snaží získat data, než začne samotný útok ransomwaru. Stejný přístup dříve využily také ostatní ransomwarové skupiny jako třeba Bitpaymer. Sophos očekává, že tato sekvence exfiltrování dat před jejich zašifrováním ransomwarem bude pokračovat. Pokud se firmy, které jsou povinné dodržovat GDPR, nadcházející California Consumer Privacy Act a ostatní předpisy či zákony na ochranu dat, stanou obětí ransomwaru Snatch, budou o tom možná muset informovat regulační orgány.

Snatch je příkladem automatizovaného aktivního útoku, který je popisován i ve studii SophosLabs’ 2020 Threat Report. Jakmile útočníci vniknou do sítě zneužitím služeb vzdáleného přístupu, využijí hackerské postupy k úhybným manévrům a napáchání škod. Zpráva o ransomwaru Snatch popisuje, že útočníci získávají přístup prostřednictvím nezabezpečených IT služeb vzdáleného přístupu, jako je (nejen) Remote Desktop Protocol (RDP). Zpráva ukazuje příklady, kdy útočníci využívající Snatch rekrutují na fórech dark webu potenciální spolupracovníky schopné kompromitovat služby vzdáleného přístupu. Níže je snímek konverzace v ruštině z fóra na dark webu, kde se uvádí: „Hledáme spolupracovníky s přístupem k RDP\VNC\TeamViewer\WebShell\SQLinj v korporátních sítích, obchodech a dalších společnostech.

Doporučení pro obranu:

  • Buďte proaktivní při pátrání po hrozbách: Využijte interní nebo externí expertní bezpečnostní tým pro nepřetržité monitorování hrozeb. 
  • Umožněte využití strojového či hloubkového učení, aktivního zmírnění útoků a behaviorální detekce k zabezpečení koncových bodů.
  • Kde je to možné, identifikujte a vypněte služby vzdáleného přístupu vystavené do veřejného internetu.
  • Pokud je vzdálený přístup nezbytný, použijte VPN s nejlepším ověřeným způsobem dvoufaktorové autentikace, auditováním hesel a precizní kontrolou přístupů společně s aktivním monitorováním vzdáleného přístupu.
  • Všechny servery se vzdáleným přístupem otevřeným do veřejného internetu musí mít instalovány všechny bezpečnostní záplaty, musí být chráněny preventivními prostředky (jako je bezpečnostní software na ochranu koncových bodů) a aktivně monitorovány na anomálie při přihlašování a jiné abnormální chování.
  • Uživatelé přihlášení ke službám vzdáleného přístupu by měli mít omezená oprávnění pro zbývající části podnikové sítě.
  • Administrátoři by měli nasadit vícefaktorové ověřování a používat administrátorský účet oddělený od jejich běžného uživatelského účtu.
  • Aktivně monitorujte otevřené RDP ve veřejném prostoru IP adres.

Další informace a technické detaily o ransomwaru Snatch najdete v článku SophosLabs Uncut.

Zajímavost: Ukazuje se, že název „Snatch“ nebyl zvolen náhodou. V dřívějších verzích ransomwaru obsahovalo oznámení požadavku na výkupné e-mailovou adresu „imBoristheBlade@protonmail.com“, která vypadá jako odkaz na film Guye Ritchieho Snatch z roku 2000, u nás uvedeného pod názvem Podfu(c)k. V něm je i postava bývalého agenta KGB připomínajícího Rasputina a pojmenovaného Boris the Blade, která je bita, střelena i pobodána často s malým až žádným efektem na jeho schopnost vstát a pokračovat v boji.

Štítky: 

Podobné články

NTT hlásí až 300% nárůst cílených útoků na průmysl. Které další trendy dominují IT bezpečnosti?

12. 5. 2021. (redaktor: František Doupal, zdroj: NTT)
Tvrdě byly podle analýzy zasaženy zdravotnictví, finanční služby a výroba – příčinou je zneužívání globální destabilizace útočníky. Mezi hackery však rostla i popularita útoků na aplikace a malwaru na těžení kryptoměn. A jaká byla situace v ČR? Čtěte více

Obnova škod po útoku ransomwaru přijde na téměř 2 miliony USD

6. 5. 2021. (redaktor: František Doupal, zdroj: Sophos)
Průzkum The State of ransomware 2021 firmy Sophos odhalil, že se průměrné celkové náklady na obnovu po ransomwarovém útoku za rok více než zdvojnásobily, když se zvýšily ze 761 106 dolarů v roce 2020 na 1,85 milionu dolarů v roce 2021. Kolik činí zaplacené výkupné v globálním měřítku a kolik v ČR? Čtěte více

Hlavní trendy v oblasti kyberútoků, které zásadně ovlivní MSP služby

28. 4. 2021. (redaktor: František Doupal, zdroj: Zebra systems)
Podle firmy Zebra systems, distributora řešení N-able (dříve SolarWinds MSP) na českém a slovenském trhu, poptávku po MSP službách zásadně ovlivní nejnovější trendy kybernetických útoků, včetně vylepšených vyděračských taktik, malwarových technik a nových cest k napadání firemních systémů. Čtěte více

Pouze 6 % obětí ransomwaru v Česku vloni zaplatilo výkupné

6. 4. 2021. (redaktor: František Doupal, zdroj: Kaspersky)
Češi jsou velmi disciplinovaní v otázce, zda platit či neplatit výkupné za odšifrování dat zablokovaných ransomwarem. V loňském roce získali kybernetičtí vyděrači platby pouze od 6 % obětí v České republice. Z celosvětového hlediska přitom za odšifrování dat zaplatila více než polovina napadených (56 %). Čtěte více