Pres Ransomware: Veszélyes fenyegetés a Dharma családtól

A Pres Ransomware megértése

A Pres zsarolóvírus fenyegető tagja a Dharma zsarolóvírus-családnak . Elődeihez hasonlóan a Pres is titkosítja az áldozatok fájljait, és váltságdíjat követel a helyreállításukért cserébe. Ami különösen azonosíthatóvá teszi ezt a variánst, az a titkosított fájlok átnevezésének módja. Minden fájlnévhez hozzáfűzi az áldozat egyedi azonosítóját, egy elérhetőségi e-mail címét és a ".pres" kiterjesztést. Például egy eredetileg "document.pdf" nevű fájl a titkosítás után "document.pdf.id-9ECFA84E.[helpreserve@onionmail.org].pres" formában jelenne meg.

A fájlok titkosítása mellett a Pres egy felugró ablakban váltságdíjat követelő üzenetet jelenít meg, és egy „info.txt” nevű szöveges fájlt helyez el a fertőzött könyvtárakban. Az üzenet tájékoztatja az áldozatokat arról, hogy fájljaik titkosítva lettek, és utasításokat tartalmaz a támadókkal való e-mailes kapcsolatfelvételhez. Az áldozatoknak két e-mail cím egyikére kell elküldeniük egyedi azonosítójukat: helpreserve@onionmail.org vagy helpreserve@cyberfear.com.

Mit akarnak a támadók

A váltságdíjat követelő üzenet segítőkésznek, sőt megnyugtatónak tűnik. Azt állítja, hogy az áldozat fájljai helyreállíthatók, és bizonyítékként akár három kis, nem érzékeny fájl ingyenes visszafejtését is felajánlja. Ezek a mintafájlok azonban nem haladhatják meg a 3 MB-ot, és nem tartalmazhatnak biztonsági mentéseket, adatbázisokat vagy nagy táblázatokat. A levél arra is figyelmeztet, hogy a fájlok átnevezése vagy harmadik féltől származó helyreállító eszközök használata visszafordíthatatlan károkat okozhat.

Egy klasszikus pszichológiai manipulációs taktikában a támadók azt tanácsolják, hogy ne vonjanak be harmadik feleket, azt állítva, hogy ez növelheti a váltságdíj összegét. Ez a cél az áldozat elszigetelése és a támadók ígéreteibe vetett bizalom növelése – annak ellenére, hogy nagy a kockázata annak, hogy a fizetés után nem kapnak visszafejtési eszközt.

Íme, mit állít a váltságdíjkövetelő levél:

All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: helpreserve@onionmail.org YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:helpreserve@cyberfear.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
http://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

Hogyan működnek a Pres és más zsarolóvírusok?

A Preshez hasonló zsarolóvírusok célja, hogy túszul ejtsék a felhasználók adatait erős algoritmusokkal titkosítva. A titkosítás után a fájlok használhatatlanná válnak, hacsak nem dekódolják őket egy egyedi kulccsal, amellyel csak a támadók rendelkeznek. Az áldozatokat jellemzően nehéz választás elé állítják: kifizetik a váltságdíjat és reménykednek abban, hogy a támadók betartják a szavukat, vagy más módon próbálják meg helyreállítani a fájlokat.

A Pres zsarolóvírus nem csak fájlok titkosításával foglalkozik. Törli a kötet árnyékmásolatait is (amelyeket a Windows biztonsági mentésekhez használ), letiltja a tűzfalat az észlelés elkerülése érdekében, és megpróbálja fenntartani a vírus jelenlétét azáltal, hogy egy rejtett helyre másolja magát a rendszerben, és módosítja a Windows rendszerleíró adatbázisát. Ezek a taktikák azt hivatottak biztosítani, hogy a zsarolóvírus a rendszer újraindítása után is futhasson, és ellenálljon az eltávolítási kísérleteknek.

A váltságdíj kifizetésének kockázatai

Bár a váltságdíj kifizetése a leggyorsabb útnak tűnhet a gyógyuláshoz, ez egy kockázatos szerencsejáték, garantált jutalom nélkül. A támadók elvihetik a pénzt és eltűnhetnek, vagy hibás vagy részleges visszafejtési kulcsot adhatnak meg. Ráadásul a fizetés csak további kiberbűnözői tevékenységet táplál, és a zsarolóvírusokat jövedelmezőbbé és vonzóbbá teszi a támadók számára.

A legtöbb esetben a helyreállítás biztonsági mentések vagy hivatalos visszafejtési eszközök nélkül rendkívül nehéz. Sajnos a csatlakoztatott vagy fertőzött eszközökön tárolt biztonsági mentések is veszélybe kerülhetnek. Ezért kritikus fontosságúak a hatékony biztonsági mentési gyakorlatok – például a másolatok tárolása kihúzott külső meghajtókon vagy biztonságos felhőszolgáltatásokban.

Hogyan terjed a Pres zsarolóvírus?

A zsarolóvírus-fertőzések gyakran a gyenge Remote Desktop Protocol (RDP) biztonság eredményei. A kiberbűnözők gyakran kihasználják a rosszul védett RDP-szolgáltatásokat nyers erő vagy szótáras támadások segítségével jogosulatlan hozzáférés megszerzéséhez. Miután bejutottak, manuálisan telepítik a zsarolóvírust.

Egyéb fertőzési módszerek közé tartoznak a rosszindulatú mellékleteket vagy linkeket tartalmazó adathalász e-mailek, a megbízhatatlan webhelyekről származó automatikus letöltések, a rosszindulatú programokkal csomagolt kalózszoftverek és a megtévesztő hirdetések. A felhasználók P2P hálózatokon vagy hamis szoftverfrissítési felszólításokon keresztül is találkozhatnak zsarolóvírusokkal. A rosszindulatú program általában legitim programnak vagy dokumentumnak álcázott, így ráveszi a felhasználókat a fertőzés aktiválására.

Hogyan maradjunk védve

A Preshez hasonló zsarolóvírusok megelőzése az okos online viselkedéssel és a szilárd kiberbiztonsági intézkedésekkel kezdődik. Kerülje a nem hivatalos webhelyekről származó szoftverek letöltését, kerülje a kalózprogramokat vagy kulcsgenerátorokat, és soha ne engedélyezzen makrókat ismeretlen Office-dokumentumokban. Legyen különösen óvatos az ismeretlen forrásból származó e-mail-mellékletekkel vagy linkekkel, még akkor is, ha sürgősnek vagy fontosnak tűnnek.

Rendszeresen frissítse operációs rendszerét és szoftvereit az ismert sebezhetőségek javítása érdekében. Használjon megbízható víruskereső eszközöket, amelyek valós idejű védelmi funkciókat tartalmaznak. Gyakran készítsen biztonsági másolatot a fontos adatokról, és tárolja ezeket a biztonsági másolatokat biztonságos, leválasztott helyeken.

Záró gondolatok

A pres zsarolóvírusok egy újabb példa arra, hogy mennyire kifinomulttá és rombolóvá váltak a modern zsarolóvírus-fenyegetések. A technikai lopakodást a társadalmi manipulációval ötvözi, hogy olyan váltságdíj kifizetésére kényszerítse az áldozatokat, amely esetleg nem is vezet fájl-helyreállításhoz. Az éberség fenntartásával, a legjobb kiberbiztonsági gyakorlatok betartásával és a biztonságos biztonsági mentések fenntartásával a felhasználók és a szervezetek jelentősen csökkenthetik a digitális zsarolási rendszerekkel kapcsolatos kockázatokat.