„ZÁROLT_”: elemeztük az Ügyészség nevével visszaélő zsarolóvírust – itt a visszafejtő

Az Ügyészség nevében érkezik a levél, de ransomware van mögötte. Elemeztük az országot körbejáró legújabb zsarlóvírus támadást és elkészítettük a visszafejtő programot, aminek segítségével bárki fizetés nélkül visszaállíthatja fájljait.

Űrlap a visszafejtő program letöltéséhez

Frissítés: Azonosítottuk, hogy a kampány során a támadók többféle titkosítási eljárást alkalmaztak. Az általunk biztosított visszafejtő program jelenleg nem mindegyik változatot képes kezelni, ezért előfordulhat, hogy az Ön esetében sem jár sikerrel a fájlok helyreállítása.

A problémáról tudunk, vizsgálatunk folyamatban van. Amennyiben újabb eredményre jutunk, azt mielőbb közzétesszük közösségimédia-felületeinken, valamint frissítjük a témában megjelent blogbejegyzésünket.

A Nemzeti Kiberbiztonsági Intézet (NKI) 2026. szeptember 3-án riasztást adott ki egy Magyarországon terjedő ransomware-kampány miatt, amelyben a támadók Magyarország Ügyészségének nevét és arculati elemeit használják fel az áldozatok megtévesztésére. A támadás különösen veszélyes, mert nem egy első pillantásra gyanús kéretlen levéllel próbálkozik: a támadók hivatalos eljárásra hivatkozva igyekeznek rávenni a címzettet arra, hogy megnyisson egy hivatkozást, majd letöltsön és elindítson egy rosszindulatú fájlt.

A beérkezett mintákban az e-mailek többek között arra hivatkoznak, hogy a címzett vállalkozásával kapcsolatban büntetőeljárás van folyamatban, az ügyhöz tartozó iratok pedig elektronikusan megtekinthetők. Egy ilyen üzenet érthető módon könnyen sürgető reakciót válthat ki a címzettből – éppen erre építenek a támadók.

A levélben található hivatkozás egy Google-megosztásnak tűnő linken keresztül egy az Ügyészség hivatalos weboldalára megtévesztésig hasonlító, valójában hamis oldalra irányítja a felhasználót. Innen további kattintással vagy fájl letöltésével indulhat el a fertőzés. A támadás végső célja a számítógépen található dokumentumok, képek, archívumok és egyéb állományok titkosítása, majd váltságdíj követelése azok helyreállításáért.

A fertőzés egyik könnyen felismerhető jele, hogy a ransomware a titkosított állományok fájlneve elé a „ZÁROLT_” előtagot helyezi. A fájl eredeti kiterjesztése közben változatlan maradhat, az adat tartalma azonban már nem hozzáférhető. A támadók ezt követően egy váltságdíj-üzenetet jelenítenek meg, amelyben egy .onion címen keresztül történő kapcsolatfelvételt kérnek, és azt állítják, hogy kizárólag ők képesek a fájlok helyreállítására.

Mire érdemes különösen figyelni?

A kampánynak több olyan jellegzetessége is van, amely alapján a támadás még a fertőzés előtt felismerhető.

• Ellenőrizzük a feladó valódi e-mail-címét. Az Ügyészség hivatalos elektronikus levelezéséhez `@mku.hu` végződésű címeket használ. Az NKI által vizsgált támadó levelek ezzel szemben `@outlook.hu` címekről érkeztek, annak ellenére, hogy a megjelenített név és az üzenet tartalma hivatalos megkeresés benyomását keltette.
• Ne bízzunk meg egy weboldalban csak azért, mert a címe vagy a megjelenése hasonlít az eredetire. A támadók olyan domainnevet is használnak, amelyben szerepel az „ugyeszseg.hu” karaktersorozat, ez azonban nem jelenti azt, hogy a weboldal valóban az Ügyészséghez tartozik. Mindig a teljes domainnevet kell ellenőrizni a böngésző címsorában.
• Ismeretlen vagy váratlan megkeresésből ne töltsünk le és főleg ne futtassunk fájlokat. Különösen gyanús, ha egy hivatalosnak tűnő e-mail először egy külső oldalra irányít, majd ott további kattintásra, dokumentum letöltésére vagy program elindítására próbál rávenni.

Ha kétség merül fel egy ilyen levél hitelességével kapcsolatban, ne az üzenetben szereplő elérhetőségeket használjuk az ellenőrzéshez. Keressük meg az érintett szervezet hivatalos weboldalát és az ott feltüntetett telefonszámon vagy e-mail-címen érdeklődjünk arról, valóban tőlük érkezett-e a megkeresés.

Mi a teendő, ha már megtörtént a baj?

Amennyiben a gyanús hivatkozást megnyitottuk vagy a hozzá kapcsolódó futtatható állományt elindítottuk, az érintett számítógépet haladéktalanul le kell választani a hálózatról. Ezzel csökkenthető annak kockázata, hogy a fertőzés további rendszereket vagy elérhető hálózati erőforrásokat is érintsen. Fontos továbbá, hogy változtassuk meg minden olyan fiókunk jelszavát, amelyet az adott eszközön használtunk, hiszen nem kizárható, hogy a támadók ezekhez is hozzáfértek. Szervezeti környezetben ezt követően célszerű azonnal megkezdeni az incidenskezelést, megőrizni a bizonyítékokat, illetve megvizsgálni többek között a levelezési és proxy-naplókat, a végponti eseményeket és a letöltési előzményeket.

A történet azonban ezen a ponton még nem ér véget…

Megvizsgáltuk a támadás során használt ransomware működését és a fájlok titkosításának módját és rájöttünk, hogy miként lehet a titkosított fájlokat visszafejteni. Erről hamarosan részletesen is írunk külön blogposztunkban, most azonban segítségéül minden áldozatnak, ingyenesen letölthetővé tesszük a szakértőink által készített, a titkosított fájlok visszafejtését lehetővé tevő programot. A letöltéshez töltse ki az alábbi űrlapot:

Űrlap a visszafejtő program letöltéséhez

Mi, a White Hat IT Security-nál többek között ilyen és ehhez hasonló támadások elhárításán dolgozunk nap mint nap. Ha szeretne egy professzionális csapattal együtt dolgozni vállalatának védelmében, tekintse meg szolgáltatásainkat, vagy keressen minket elérhetőségeink valamelyikén.