Złośliwi cyberprzestępcy atakują bez aktualizacji Microsoft Exchange serwery z Drogi Płacz ransomware. Ransomware DearCry wykorzystywał systemy ofiar.
To złośliwe oprogramowanie przejęło kontrolę nad serwerami narażonymi na lukę w zabezpieczeniach ProxyLogon, zwiększając liczbę ataków wykorzystujących tę lukę.
Ostatnio nastąpił wzrost ataków ransomware. Check Point wykrył wzrost ataków na niezałatane serwery Microsoft Exchange.
14 marca Microsoft oszacował, że 82,000 30,000 serwerów Exchange jest podatnych na ataki. Według danych RiskIQ liczba narażonych maszyn spadła do około XNUMX XNUMX tydzień później.
Ale Check Point wykazał ponad 50,000 XNUMX prób ataków na różne organizacje. Obejmowało to:
- wojsko
- bankowość i
- organizacje produkcyjne.
Ogółem 49 procent ataków było wymierzonych wyłącznie w organizacje amerykańskie.
WannaCry powraca jako DearCry?
Najnowszy ransomware DearCry ujawnił nietypowe zachowanie ataku szyfrującego, podobne do WannaCry.
Mark Loman, dyrektor Sophos, przeanalizował próbki pobrane w wyniku udaremnionego ataku na jednego z ich klientów.
Analiza wykazała, że ransomware był prymitywny i niewiele robił, aby ukryć swoją obecność. Zatem został stworzony przez kogoś o podstawowych umiejętnościach.
Jednak analiza Lomana wykazała, że hybrydowe podejście do szyfrowania jest podobne do tego, jakie stosowano w przypadku WannaCry.
Oba generują zaszyfrowaną kopię zaatakowanego pliku, technikę, którą nazywamy szyfrowaniem „kopii”. Następnie nadpisuje oryginalny plik, aby zablokować odzyskiwanie, technikę, którą nazywamy „szyfrowaniem w miejscu”,
Mark Loman, dyrektor w Sophos
Dodał, że ofiary oprogramowania typu copy ransomware mogą odzyskać część swoich danych. Jednak przy szyfrowaniu na miejscu odzyskiwanie za pomocą narzędzi do odzyskiwania danych jest niemożliwe.
BitPaymer, Ryuk, REvil i Maze to dobrze znane programy ransomware, których operatorem jest człowiek i które wykorzystują wyłącznie szyfrowanie.
Oprócz tych podobieństw, WannaCry i DearCry mają podobne nazwy i nagłówki dodawane do zaszyfrowanych plików.
Podkreślił również, że te podobieństwa nie oznaczają, że mają tego samego twórcę. W końcu znalazł też wrodzone różnice między WannaCry i DearCry.
Na przykład DearCry nie ma licznika czasu i nie korzysta z wbudowanego klucza szyfrującego RSA ani serwera poleceń i kontroli (C2).
Kolejną istotną rzeczą, na którą należy zwrócić uwagę, jest fakt, że ransomware atakuje pojedynczy system na raz, a nie wszystkie maszyny w sieci docelowej.
Inne funkcje DearCry obejmują:
- tworzenie nowych plików binarnych dla nowych ofiar i
- nieskomplikowane podejście zapobiegające wykryciu.
Wszystkie te cechy wskazują, że DearCry został stworzony na szybko lub że jest jedynie prototypem.
Jakie jest wyjście?
DearCry umieszcza plik „readme.txt” w każdym folderze systemowym ze słowem „desktop”. Umieszcza również plik w głównym folderze dysku systemowego i informuje ofiary, co się stało i z kim się skontaktować.
Ta notatka o okupie zawiera dwa adresy e-mail, a także hash. Ten hash działa jako unikalny identyfikator atakującego, wskazując, który klucz deszyfrujący odpowiada danemu atakowi.
Ponieważ atak ransomware nastąpił na skutek luki w zabezpieczeniach serwera, kolejnym logicznym krokiem jest instalacja poprawek.
Albo odłączyć ich serwery od Internetu, jeśli łatanie jest niemożliwe. Przynajmniej do czasu znalezienia sensownego rozwiązania, wyjaśnił Loman.
O firmie Microsoft
Microsoft Corporation to globalna firma technologiczna z siedzibą w Redmond, Waszyngton, Stany Zjednoczone. Produkuje, sprzedaje i udostępnia elektronikę użytkową, oprogramowanie komputerowe i komputery osobiste.
Przeglądarki Microsoft, Microsoft Office Suite i linia Windows OS to popularne produkty programowe. Oprócz tego Microsoft prowadzi również linię serwerów dla przedsiębiorstw.
Ale jeśli jesteś small business właścicielu, nie będziesz potrzebował serwera Microsoft. Przejdź do nasza strona z recenzjami poznać zalety i wady różnych rozwiązań hostingowych.
