Ragnar Locker Fidye Yazılımıyla Nasıl Başa Çıkılır? (05.20.24)

Fidye yazılımı çok kötü bir kötü amaçlı yazılımdır çünkü saldırganlar kurbandan önemli verilerinin rehin alınmadan serbest bırakılması için ödeme yapmasını ister. Fidye yazılımı gizlice kurbanın cihazına bulaşır, önemli verileri (yedek dosyalar dahil) şifreler, ardından ne kadar fidye ödenmesi gerektiği ve nasıl ödenmesi gerektiği konusunda talimatlar bırakır. Tüm bu güçlüklerden sonra, kurbanın, dosyaların kilidini açmak için saldırganın şifre çözme anahtarını gerçekten serbest bırakacağına dair hiçbir garantisi yoktur. Ve eğer yaparlarsa, bazı dosyalar bozulabilir ve sonunda onları işe yaramaz hale getirebilir.

Fidye yazılımlarının kullanımı, bilgisayar korsanlarının para kazanmanın en doğrudan yolu olduğu için yıllar içinde popülerlik kazandı. Sadece kötü amaçlı yazılımı bırakmaları ve ardından kullanıcının Bitcoin aracılığıyla para göndermesini beklemeleri gerekiyor. Emsisoft'un verilerine göre, 2019'daki fidye yazılımı saldırılarının sayısı bir önceki yıla göre %41 artarak yaklaşık 1.000 ABD kuruluşunu etkiledi. Cybersecurity Ventures, fidye yazılımlarının her 11 saniyede bir işletmelere saldıracağını bile öngördü.

Bu yılın başlarında, yeni bir kötü amaçlı yazılım türü olan Ragnar Locker, merkezi Lizbon'da bulunan Portekizli bir elektrik şirketi olan Energias de Portugal'a (EDP) saldırdı. . Saldırganlar fidye olarak yaklaşık 11 milyon dolara eşdeğer 1.580 bitcoin talep etti.

Ragnar Locker Ransomware nedir?

Ragnar Locker, yalnızca verileri şifrelemek için değil, aynı zamanda genellikle yönetilen hizmet sağlayıcılar ve çeşitli Windows hizmetleri tarafından kullanılan ConnectWise ve Kaseya gibi yüklü uygulamaları öldürmek için oluşturulan fidye yazılımı türü kötü amaçlı yazılımdır. Ragnar Locker, ragnar kelimesi ve ardından bir dizi rastgele sayı ve karakterden oluşan benzersiz bir uzantı ekleyerek şifrelenmiş dosyaları yeniden adlandırır. Örneğin, A.jpg adındaki bir dosya A.jpg.ragnar_0DE48AAB olarak yeniden adlandırılacaktır.

Dosyaları şifreledikten sonra, aynı ad biçimine sahip bir metin dosyası kullanarak bir fidye mesajı oluşturur. yukarıdaki örnekle. Fidye mesajının adı RGNR_0DE48AAB.txt olabilir.

Bu fidye yazılımı yalnızca Windows bilgisayarlarda çalışır, ancak bu kötü amaçlı yazılımın yazarlarının Ragnar Locker'ın bir Mac sürümünü de tasarlayıp tasarlamadığından henüz emin değil. Genellikle yönetilen hizmet sağlayıcılar tarafından saldırılarının tespit edilip durdurulmasını önlemek için yaygın olarak kullanılan süreçleri ve uygulamaları hedefler. Ragnar Locker yalnızca İngilizce konuşan kullanıcıları hedefliyor.

Ragnar Locker fidye yazılımı ilk olarak, güvenliği ihlal edilmiş ağlara yönelik saldırıların bir parçası olarak kullanıldığı Aralık 2019'un sonlarında tespit edildi. Güvenlik uzmanlarına göre, Avrupa enerji devine yönelik Ragnar Locker saldırısı iyi düşünülmüş ve baştan sona planlanmış bir saldırıydı.

İşte Ragnar Locker fidye mesajına bir örnek:

Merhaba * !

********************

Bu mesajı okuyorsanız, ağınıza GEÇİLMİŞTİR ve tüm dosyalarınız ve veriler RAGNAR_LOCKER tarafından

ŞİFRELENMİŞTİR!

********************

***********Sisteminize ne oluyor ?* ***********

Ağınıza girildi, tüm dosyalarınız ve yedekleriniz kilitlendi! Bu nedenle, artık dosyalarınızı geri almanız için BİZİ DIŞINDA KİMSE YARDIMCI OLAMAZ.

Google'da aratabilirsiniz, GİZLİ ANAHTARI olmadan verilerin şifresini çözme ŞANSI yoktur.

Ama merak etmeyin! Dosyalarınız HASARLI veya KAYIP DEĞİLDİR, sadece DEĞİŞTİRİLMEKTEDİR. ÖDEME yapar yapmaz GERİ alabilirsiniz.

Yalnızca PARA arıyoruz, bu nedenle bilgilerinizi silmemize veya silmemize gerek yok, bu sadece bir İŞ $-)

ANCAK, BİZİM ÖZEL ŞİFRELEME ANAHTARIMIZ olmadan başka bir yazılımla ŞİFRELEMEYİ ÇIKARMAYA çalışırsanız, VERİLERİNİZE kendi başınıza zarar verebilirsiniz !!!

Ayrıca, tüm hassas ve özel bilgileriniz toplandı ve ödeme yapmamaya karar verirseniz,

herkesin görmesi için yükleyeceğiz !

****

***********Dosyalarınızı nasıl geri alabilirsiniz?******

şifreleme için ödemeniz gereken tüm dosyalarınızın ve verilerinizin şifresini çözün ANAHTAR :

Ödeme için BTC cüzdanı: *

Ödenecek tutar (Bitcoin cinsinden): 25

****

***********Ne kadar zaman ödemeniz gerekiyor?**********

* Daha iyi bir fiyat almak için şifrelemeyi fark ettikten sonra 2 gün içinde bizimle iletişime geçmelisiniz.

* 14 gün sonra herhangi bir görüşme yapılmaması durumunda fiyat %100 (çift fiyat) artacaktır.

* Herhangi bir temas veya anlaşma yapılmadığı takdirde anahtar 21 gün içinde tamamen silinecektir.

Dosya sunucularından çalınan bazı hassas bilgiler herkese açık olarak veya başka bir yere yüklenecektir. yeniden satıcı.

****

***********Ya dosyalar geri yüklenemezse?******

Verilerinizin şifresini gerçekten çözebileceğimizi kanıtlamak için kilitli dosyalarınızdan birinin şifresini çözeceğiz!

Sadece bize gönderin ve ÜCRETSİZ olarak geri alacaksınız.

Şifre çözücünün fiyatı ağ boyutuna, çalışan sayısına, yıllık gelire bağlıdır.

Ödenmesi gereken BTC miktarı için lütfen bizimle iletişime geçmekten çekinmeyin.

****

! Nasıl bitcoin alacağınızı bilmiyorsanız, parayı nasıl değiştireceğiniz konusunda size tavsiyelerde bulunacağız.

!!!!!!!!!!!!!

! BİZİMLE NASIL İLETİŞİME GEÇEBİLİRSİNİZ İŞTE BASİT KILAVUZ !

!!!!!!!!!!!!

1) TOX messenger'ın resmi web sitesine gidin ( hxxps://tox.chat/download.html )

2) qTOX'u bilgisayarınıza indirin ve kurun, platformu seçin ( Windows, OS X, Linux vb. )

3) Messenger'ı açın, "Yeni Profil"i tıklayın ve profil oluşturun.

4) "Arkadaş ekle" düğmesini tıklayın ve kişimizde arama yapın *

5) Tanımlama için —RAGNAR SECRET— adresinden destek verilerimize gönderin.

ÖNEMLİ ! Bazı nedenlerden dolayı qTOX'ta bizimle İLETİŞİME GEÇMİYORSANIZ, işte yedek posta kutumuz ( * ) —RAGNAR SECRET—'den veri içeren bir mesaj gönderin

UYARI!

-Üçüncü taraf yazılımlarla dosyaların şifresini çözmeye çalışmayın (kalıcı olarak zarar görecektir)

-İşletim sisteminizi yeniden yüklemeyin, bu tamamen veri kaybına ve dosyalara neden olabilir şifresi çözülemez. ASLA!

-Şifre çözme için GİZLİ ANAHTARI sunucumuzdadır, ancak sonsuza kadar saklanmayacaktır. VAKİT KAYBETME !

********************

—RAGNAR SECRET—

*

—RAGNAR SECRET—

********************

Ragnar Dolabı Ne Yapar?

Ragnar Locker genellikle, siber suçluların yüksek oranda hedeflenmiş bir fidye yazılımı yürütülebilir dosyası bıraktığı ConnectWise gibi MSP araçları aracılığıyla sağlanır. Bu yayılma tekniği, Sodinokibi gibi daha önceki son derece kötü niyetli fidye yazılımları tarafından kullanılmıştır. Bu tür bir saldırı gerçekleştiğinde, fidye yazılımının yazarları, güvenli olmayan veya kötü şekilde korunan RDP bağlantıları aracılığıyla kuruluşlara veya tesislere sızar. Ardından, Powershell komut dosyalarını tüm erişilebilir uç noktalara göndermek için araçlar kullanır. Komut dosyaları daha sonra fidye yazılımını yürütmek ve uç noktaları şifrelemek için tasarlanmış Pastebin aracılığıyla bir yük indirir. Bazı durumlarda, yük, dosya tabanlı bir saldırının parçası olarak başlatılan yürütülebilir bir dosya biçiminde gelir. Tamamen dosyasız bir saldırının parçası olarak ek komut dosyalarının indirildiği durumlar da vardır.

Ragnar Locker, aşağıdaki dizeler dahil olmak üzere, genellikle yönetilen hizmet sağlayıcılar tarafından çalıştırılan yazılımları özellikle hedefler:

  • vss
  • sql
  • memtas
  • mepocs
  • sophos
  • veeam
  • yedekleme
  • pulseway
  • logme
  • logmein
  • connectwise
  • splashtop
  • kaseya

Fidye yazılımı önce hedefin dosyalarını çalar ve sunucularına yükler. Ragnar Locker'ı benzersiz kılan şey, yalnızca dosyaları şifrelemekle kalmayıp, aynı zamanda, EDP örneğinde olduğu gibi, fidye ödenmezse verilerin kamuya açıklanacağı konusunda kurbanı tehdit etmeleridir. EDP ​​ile saldırganlar, tarihin en büyük veri sızıntılarından biri olabilecek sözde 10 TB çalıntı veriyi serbest bırakmakla tehdit etti. Saldırganlar, tüm ortakların, müşterilerin ve rakiplerin ihlalden haberdar edileceğini ve sızdırılan verilerinin kamu tüketimi için haber ve medya görsellerine gönderileceğini iddia etti. EDP'nin sözcüsü, saldırının şirketin elektrik hizmeti ve altyapısı üzerinde bir etkisi olmadığını açıklamış olsa da, yaklaşan veri ihlali endişe duydukları bir şey.

Hizmetleri devre dışı bırakma ve süreçleri sonlandırma, kötü amaçlı yazılımlar tarafından güvenlik programlarını, yedekleme sistemlerini, veritabanlarını ve posta sunucularını devre dışı bırakmak için kullanılan yaygın taktiklerdir. Bu programlar sonlandırıldıktan sonra verileri şifrelenebilir.

İlk başlatıldığında Ragnar Locker, yapılandırılmış Windows dil tercihlerini tarar. Dil tercihi İngilizce ise, kötü amaçlı yazılım bir sonraki adıma devam eder. Ancak Ragnar Locker, dilin eski SSCB ülkelerinden biri olarak ayarlandığını tespit ederse, kötü amaçlı yazılım işlemi sonlandıracak ve bilgisayarı şifrelemekle bitmeyecektir.

Ragnar Locker, MSP'nin güvenlik araçlarını engellemeden önce tehlikeye atar. fidye yazılımı yürütülmekten. Kötü amaçlı yazılım içeri girdikten sonra şifreleme işlemini başlatır. Önemli dosyaları şifrelemek için yerleşik bir RSA-2048 anahtarı kullanır.

Ragnar Locker tüm dosyaları şifrelemez. Bazı klasörleri, dosya adlarını ve uzantıları atlayacaktır, örneğin:

  • kernel32.dll
  • Windows
  • Windows.old
  • Tor tarayıcı
  • Internet Explorer
  • Google
  • Opera
  • Opera Yazılımı
  • Mozilla
  • Mozilla Firefox
  • $Recycle.Bin
  • ProgramData
  • Tüm Kullanıcılar
  • autorun.inf
  • boot.ini
  • bootfont.bin
  • bootsect.bak
  • bootmgr
  • bootmgr .efi
  • bootmgfw.efi
  • desktop.ini
  • iconcache.db
  • ntldr
  • ntuser.dat
  • ntuser.dat.log
  • ntuser.ini
  • thumbs.db
  • .sys
  • .dll
  • .lnk
  • .msi
  • .drv
  • .exe

Eklemek dışında şifrelenmiş dosyalar için yeni bir dosya uzantısı olan Ragnar Locker, şifrelenmiş her dosyanın sonuna bir 'RAGNAR' dosya işaretçisi de ekler.

Ragnar Locker daha sonra fidye miktarı, bitcoin ödeme adresi, saldırganlarla iletişim kurmak için kullanılacak bir TOX sohbet kimliği ve yedek bir e-posta adresiyle ilgili ayrıntıları içeren '.RGNR_[uzantı].txt' adlı bir fidye mesajı bırakır. TOX ile ilgili sorunlar varsa. Diğer fidye yazılımlarından farklı olarak Ragnar Locker'ın sabit bir fidye miktarı yoktur. Hedefe göre değişir ve kişiye özel hesaplanır. Bazı raporlarda, fidye miktarı 200.000 ila 600.000 ABD Doları arasında değişebilir. EDP ​​durumunda, istenen fidye 1.580 bitcoin veya 11 milyon dolardı.

Ragnar Locker Nasıl Kaldırılır

Bilgisayarınıza Ragnar Locker bulaşması şanssızsa, yapmanız gereken ilk şey kontrol etmektir. tüm dosyalarınız şifrelenmişse. Ayrıca yedek dosyalarınızın da şifrelenip şifrelenmediğini kontrol etmeniz gerekir. Bunun gibi saldırılar, önemli verilerinizin yedeğini almanın önemini vurgular çünkü en azından dosyalarınıza erişimi kaybetme konusunda endişelenmenize gerek kalmaz.

Fidyeyi ödemeye kalkışmayın çünkü faydasız olacaktır. Saldırganın size doğru şifre çözme anahtarını göndereceğinin ve dosyalarınızın asla halka sızdırılmayacağının garantisi yoktur. Aslında, ödemeye hazır olduğunuzu bildikleri için saldırganların sizden para sızdırmaya devam etmesi oldukça olasıdır.

Yapabileceğiniz şey, şifreyi çözmeye çalışmadan önce fidye yazılımını bilgisayarınızdan silmektir. o. Bilgisayarınızı kötü amaçlı yazılımlara karşı taramak için virüsten koruma veya kötü amaçlı yazılımdan koruma uygulamanızı kullanabilir ve algılanan tüm tehditleri silmek için talimatları uygulayabilirsiniz. Ardından, kötü amaçlı yazılımla ilgili olabilecek tüm şüpheli uygulamaları veya uzantıları kaldırın.

Son olarak, Ragnar Locker ile eşleşen bir şifre çözme aracı arayın. Fidye yazılımı tarafından şifrelenmiş dosyalar için tasarlanmış birkaç şifre çözücü vardır, ancak varsa, önce güvenlik yazılımı üreticinizi kontrol etmelisiniz. Örneğin, Avast ve Kaspersky, kullanıcıların kullanabileceği kendi şifre çözme araçlarına sahiptir. İşte deneyebileceğiniz diğer şifre çözme araçlarının bir listesi.

Kendinizi Ragnar Locker'dan Nasıl Korursunuz

Fidye yazılımı, özellikle kötü amaçlı yazılım tarafından yapılan şifrelemeyi geri alabilecek mevcut bir şifre çözme aracı yoksa oldukça zahmetli olabilir . Cihazınızı fidye yazılımlarından, özellikle Ragnar Locker'dan korumak için aklınızda bulundurmanız gereken bazı ipuçları şunlardır:

  • Çift faktörlü veya çok faktörlü kimlik doğrulama kullanarak güçlü bir parola politikası uygulayın (MFA) mümkünse. Mümkün değilse, tahmin edilmesi zor olacak rastgele, benzersiz şifreler oluşturun.
  • Masanızdan ayrılırken bilgisayarınızı kilitlediğinizden emin olun. İster öğle yemeğine çıkın, ister kısa bir mola verin veya sadece tuvalete gidin, yetkisiz erişimi önlemek için bilgisayarınızı kilitleyin.
  • Özellikle bilgisayarınızla ilgili kritik bilgiler için bir veri yedekleme ve kurtarma planı oluşturun. bilgisayar. Ağ dışında veya mümkünse harici bir cihazda depolanan en kritik bilgileri saklayın. Gerçek bir kriz durumunda düzgün çalıştıklarından emin olmak için bu yedekleri düzenli olarak test edin.
  • Sistemlerinizin en son güvenlik yamalarıyla güncellenmesini ve yüklenmesini sağlayın. Fidye yazılımları genellikle sisteminizdeki güvenlik açıklarından yararlanır, bu nedenle cihazınızın güvenliğinin hava geçirmez olduğundan emin olun.
  • Fidye yazılımının en yaygın dağıtım yöntemi olan kimlik avı için yaygın vektörlere karşı dikkatli olun. Rastgele bağlantıları tıklamayın ve e-posta eklerini bilgisayarınıza indirmeden önce her zaman tarayın.
  • Cihazınızda güçlü bir güvenlik yazılımı kurun ve veritabanını en son tehditlerle güncel tutun.

Youtube videosu: Ragnar Locker Fidye Yazılımıyla Nasıl Başa Çıkılır?

05, 2024