Our S.O.S. line:
+49 89 262 025954
Our team of experts is ready to assist your organization in the event of a cyberattack.
details
Az Ügyészség nevével visszaélő ransomware-kampány nem ért véget. Újra nagyobb számban jelennek meg a megtévesztő e-mailek, és korlátozott számú jelzés alapján az sem zárható ki, hogy a támadók egyes esetekben telefonos megkereséssel próbálják hitelesebbé tenni a történetet. Közben maga a kártevő is változott: egy új variánst azonosítottunk, amelyhez a korábban közzétett visszafejtőnk már nem használható.
Szeptember elején részletesen bemutattuk az Ügyészség nevével visszaélő ransomware-támadást és az általunk készített visszafejtőt. A támadók hivatalos ügyészségi megkeresésnek álcázott e-mailekkel próbálták rávenni elsősorban vállalati címzetteket arra, hogy egy hivatkozáson keresztül rosszindulatú fájlt töltsenek le és futtassanak.
Az NBSZ Nemzeti Kiberbiztonsági Intézet szeptember 3-án külön riasztást adott ki a kampánnyal kapcsolatban, a Magyar Ügyészség pedig szeptember 4-én arra figyelmeztetett, hogy ismételten adathalász vagy vírust tartalmazó e-maileket küldenek a szervezet nevében. Szeptember 7-én az NKI több, a kampányhoz kapcsolódó káros domaint és IP-címet is megnevezett.
Az elmúlt napok tapasztalatai alapján azonban a támadás nem állt le. Újabb megtévesztő levelek jelentek meg, vagyis továbbra is érdemes fokozott figyelemmel kezelni minden olyan, látszólag az Ügyészségtől érkező üzenetet, amely valamilyen eljárásra, vádiratra vagy sürgősen megtekintendő dokumentumra hivatkozik.
A módszer alapja továbbra is ugyanaz: a címzettben félelmet és sürgősségérzetet kelteni, majd erre építve rávenni arra, hogy a megszokott ellenőrzési lépéseket kihagyva kattintson vagy futtasson egy fájlt. Az Ügyészség korábbi figyelmeztetései szerint a hivatalos e-mail-címek @mku.hu végződésűek; más szolgáltatótól érkező levél már önmagában komoly figyelmeztető jel.
A jelenlegi információink alapján korlátozott számban olyan jelekkel is találkoztunk, amelyek arra utalhatnak, hogy a támadók bizonyos esetekben telefonos megkeresést is alkalmazhatnak.
Fontos hangsúlyozni, hogy jelenleg nincs elegendő adatunk ahhoz, hogy ezt a kampány általánosan alkalmazott, széles körben használt elemének tekintsük. Nyilvános, hiteles forrásból sem találtunk egyelőre olyan megerősítést, amely alapján kijelenthető lenne, hogy a telefonos kapcsolatfelvétel a kampány rendszeres része.
A lehetőséget azonban érdemes komolyan venni.
A telefonos megkeresés logikusan illeszkedhet egy ilyen social engineering támadáshoz. Egy támadó például felhívhatja a korábban megcélzott vállalatot, hivatkozhat egy elküldött „hivatalos dokumentumra”, és sürgetheti annak megnyitását. Egy ilyen hívás jelentősen növelheti egy egyébként gyanús e-mail hitelességét a címzett szemében.
Ezért egy telefonhívás önmagában soha ne legyen egy e-mail vagy letöltendő dokumentum hitelességének bizonyítéka. Ha valaki hatóság vagy más hivatalos szervezet nevében keres minket, a kapcsolatfelvételt célszerű külön csatornán ellenőrizni: ha gyanús a megkeresés, bontsuk a hívást, keressük meg a szervezet hivatalos weboldalán található elérhetőséget, és azon keresztül kérdezzünk rá az ügyre.
Különösen gyanús, ha a telefonáló arra próbál rávenni, hogy egy e-mailben kapott linket azonnal nyissunk meg, töltsünk le vagy futtassunk egy állományt, adjunk meg bejelentkezési adatokat, vagy telepítsünk valamilyen programot.
A kampány legfontosabb technikai változása azonban nem a kézbesítés módjában történt.
Új ransomware-variánst azonosítottunk.
Az első hullámban terjedő kártevő elemzése során sikerült feltárnunk a titkosítás működését, és ennek alapján elkészítettünk egy visszafejtő programot. Ezt ingyenesen elérhetővé tettük azok számára, akiknek a fájljait az adott variáns titkosította.
Az új minta vizsgálata alapján azonban a támadók módosították a kártevőt, ezért az előző verzióhoz készített decryptor az új variánssal titkosított fájlok visszaállítására nem használható.
Ez fontos különbség: attól, hogy két fertőzés külső jelei hasonlóak, még nem biztos, hogy a háttérben ugyanaz a titkosítási eljárás vagy ugyanaz a kártevőverzió dolgozik.
Az új variáns technikai elemzése jelenleg folyamatban van. Dolgozunk az új visszafejtőn, és amennyiben az elemzés alapján a fájlok megbízható helyreállítása lehetséges, az eszközt a korábbihoz hasonlóan közzé fogjuk tenni.
Ezekre az új indikátorokra érdemes odafigyelni:
A legfontosabb továbbra is az, hogy ne a levél megjelenéséből, logójából vagy az abban szereplő névből induljunk ki. A támadók ma már könnyedén képesek hitelesnek tűnő leveleket és weboldalakat készíteni.
Ellenőrizzük a tényleges feladói címet, a teljes domainnevet és azt is, hogy a levél milyen műveletre próbál rávenni. Egy váratlan büntetőeljárásról, vádiratról vagy más hatósági ügyről szóló üzenetnél különösen indokolt, hogy az információt egy másik csatornán is ellenőrizzük.
Vállalati környezetben a gyanús levelet érdemes azonnal továbbítani az informatikai vagy információbiztonsági csapatnak. Menedzselt e-mail-védelem, központi naplóelemzés és 24/7 biztonsági monitorozás mellett egy ilyen bejelentés nemcsak az adott felhasználó védelmét segítheti: gyorsan megvizsgálható, hogy ugyanaz az üzenet hány másik postaládába érkezett meg, történt-e kattintás vagy letöltés, illetve indult-e gyanús folyamat valamelyik végponton.
Ez különösen fontos az olyan kampányoknál, amelyek rövid idő alatt változtatják a használt domaineket, fájlokat vagy magát a malware-t. Egy statikus tiltólista önmagában ilyenkor gyorsan elavulhat.
Ha felmerül a fertőzés gyanúja, az érintett végpontot haladéktalanul le kell választani a hálózatról. Ezzel csökkenthető annak az esélye, hogy a kártevő további hálózati erőforrásokat, megosztásokat vagy más rendszereket is elérjen.
Szervezeti környezetben azonban nem érdemes kizárólag a fertőzött számítógépre koncentrálni. Meg kell vizsgálni többek között:
Ilyen helyzetben az incidenskezelés és digitális forenzika célja nem pusztán a fertőzött gép „megtisztítása”, hanem annak megállapítása is, hogy pontosan mi történt, meddig jutott a támadó, és milyen lépések szükségesek ahhoz, hogy a kompromittáció ne ismétlődhessen meg.
A menedzselt EDR/XDR és SOC-monitorozás pedig különösen akkor válik fontossá, amikor egy kampány menet közben módosul. Az új ransomware-variáns fájljának hash-e például eltérhet a korábbitól, miközben a támadás viselkedése – a szokatlan folyamatindítások, tömeges fájlmódosítások vagy rendellenes hálózati kapcsolatok – továbbra is észlelhető lehet.
Ennek a támadásnak az első lépése nem egy technikai sérülékenység kihasználása, hanem a címzett megtévesztése.
A „büntetőeljárás indult a vállalkozással szemben” típusú üzenetek pontosan azért működhetnek, mert erős érzelmi reakciót váltanak ki. A címzett minél gyorsabban szeretné megtudni, miről van szó – a támadónak pedig pontosan erre a néhány másodpercre van szüksége.
Ezért az e-mail-szűrés, az EDR és más technikai kontrollok mellett a biztonságtudatossági képzés és a phishing-szimulációk szerepe sem elhanyagolható. A cél nem az, hogy minden munkatársból biztonsági szakértő legyen, hanem hogy egy váratlan, sürgető kérésnél kialakuljon az a reflex: előbb ellenőrizni, és csak utána kattintani.
Az új ransomware-variáns elemzését folytatjuk.
A korábbi decryptor az új variánshoz nem használható, ezért ha valaki friss fertőzéssel találkozik, javasoljuk, hogy az eredeti titkosított fájlokat őrizze meg, és ne végezzen rajtuk visszafordíthatatlan módosításokat.
Amint az új változat elemzése lezárul, és rendelkezésre áll egy biztonságosan használható visszafejtési megoldás, frissítjük a tájékoztatást és közzétesszük az új decryptort is.
Addig is érdemes fokozottan figyelni az Ügyészség nevében érkező levelekre – és arra is, hogy a kampány mutatja: a támadók nem feltétlenül ugyanazzal az eszközzel próbálkoznak újra. A támadási módszer, az infrastruktúra és maga a malware is változhat.
A védekezésnek ezért ugyanilyen gyorsan kell alkalmazkodnia.
Mi, a White Hat IT Security-nál többek között ilyen és ehhez hasonló támadások elhárításán dolgozunk nap mint nap. Ha szeretne egy professzionális csapattal együtt dolgozni vállalatának védelmében, tekintse meg szolgáltatásainkat, vagy keressen minket elérhetőségeink valamelyikén.
Adott egy egyszerű helyzet: egy munkatárs elhagyja a céget. Visszaadja a laptopját és a céges telefonját, az eszközöket törlik, a felhasználói fiókját letiltják, a főbb rendszerekhez tartozó jogosultságait pedig visszavonják. Az offboarding ezzel látszólag lezárult. De biztos, hogy valóban minden [...]
