TXTME zsarolóvírus: Egy digitális emberrabló, aki a szem elől menekül

Mi a TXTME zsarolóvírus?

Felbukkant a hírhedt Dharma zsarolóvírus-család egy újabb tagja, a TXTME . A TXTME egy már ismerős, de még mindig veszélyes működési mintát követ: titkosítja az áldozat rendszerén található fájlokat, és fizetést követel a hozzáférésért cserébe. Miután megfertőzött egy eszközt, a zsarolóvírus megváltoztatja az összes érintett fájlnevet egy egyedi áldozatazonosító, két elérhetőségi e-mail cím egyikének és a ".TXTME" kiterjesztés hozzáfűzésével. Például a "photo.jpg" fájlból valami ilyesmi lesz: "photo.jpg.id-9ECFA84E.[ownercall@tuta.io].TXTME".

Titkosításkor a zsarolóvírus kétféle váltságdíjkövetelő üzenetet hagy maga után: egy felugró ablakot és egy TXTME.txt nevű szöveges fájlt. Mindkét üzenet tájékoztatja az áldozatot, hogy adatai mostantól elérhetetlenek, és „megoldást” kínál – e-mailt kell küldeni a támadónak, és felkészülni a váltságdíj kifizetésére Bitcoinban . Az üzenetek arra is figyelmeztetnek, hogy ne nyúljanak a titkosított fájlokhoz, és ne használjanak külső helyreállító eszközöket, állandó adatvesztéssel fenyegetve, ha az áldozat megpróbálja a saját kezébe venni az ügyet.

Íme, mit ír a váltságdíjkövetelő levél:

All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: ownercall@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:ownercall@mailum.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.

A zsarolóvírus-támadások megértése

A TXTME-hez hasonló zsarolóvírusok kifejezetten az adatok túszként tartására szolgálnak. Miután hozzáférést szereznek egy rendszerhez, titkosítják a fájlokat, kizárva a felhasználókat az adataikból. Az áldozatok ezután utasításokat kapnak, hogy fizessenek váltságdíjat, jellemzően kriptovalutában, hogy megkapják a visszafejtési kulcsot. A kiberbiztonsági szakértők azonban következetesen óva intenek a fizetéstől. Nincs garancia arra, hogy a bűnözők biztosítják a visszafejtési eszközt, és a fizetés csak a jövőbeli támadások ciklusát táplálja.

Ezeknek a támadásoknak súlyos következményei lehetnek, különösen a vállalkozások vagy intézmények számára, amelyek érzékeny vagy pótolhatatlan adatokat tárolnak. Az adatvesztés, a szolgáltatásmegszakadás és a pénzügyi kár kockázata magas. Szerencsére a legjobb védekezés a felkészülés: az adatok rendszeres biztonsági mentése offline vagy távoli helyekre jelentősen csökkenti a zsarolóvírus-támadások hatását.

Mi teszi a TXTME-t mássá?

A TXTME nem csupán egy egyszerű fájlzároló. Úgy tervezték, hogy mélyebb zavarokat és tartós megőrzést biztosítson. Aktiválás után letiltja a rendszer tűzfalát, és törli a kötet árnyékmásolatait, amelyeket a Windows általában a rendszer-helyreállításhoz és a fájlok helyreállításához használ. Ez sokkal nehezebbé teszi a felhasználók számára a fájlok helyreállítását váltságdíj fizetése nélkül.

A kártevő a fertőzött gépen is marad azáltal, hogy bemásolja magát a %LOCALAPPDATA% könyvtárba, és úgy szerkeszti a Windows rendszerleíró kulcsait, hogy minden rendszerindításkor elinduljanak. Még helyadatokat is gyűjt, hogy elkerülje a rendszerek fertőzését bizonyos régiókban, ami arra utal, hogy a kezelők bizonyos országokat el akarnak kerülni – esetleg a jogi következmények elkerülése vagy a joghatóságuk alá tartozó hatóságok ellenőrzésének elkerülése érdekében.

Hogyan terjed a TXTME

A TXTME terjedésének pontos módszereit még vizsgálják, de valószínűleg a vírus terjedése veszélynek kitett Remote Desktop Protocol (RDP) szolgáltatásokon keresztül történik. A támadók gyakran brute-force technikákat alkalmaznak gyenge vagy gyakori jelszavak kitalálására az RDP-t engedélyező rendszereken. Miután bejutottak, manuálisan telepítik a zsarolóvírust.

Tágabb értelemben a zsarolóvírusok általában adathalász e-mailek, rosszindulatú mellékletek, hamis szoftverfrissítések, feltört weboldalak vagy kalózszoftverekkel együtt terjednek. Terjedhetnek USB-meghajtókon, fertőzött telepítőkön vagy elavult szoftverek sebezhetőségein keresztül is. A fenyegetési környezet folyamatosan változik, ezért elengedhetetlen az éberség.

Megelőzés és bevált gyakorlatok

A TXTME-hez hasonló zsarolóvírusok elleni védekezés legjobb módja a proaktív biztonsági intézkedések és a tudatosság kombinációja. Kezdje az RDP letiltásával, ha nem szükséges. Azokon a rendszereken, ahol az RDP elengedhetetlen, használjon erős, összetett jelszavakat, és engedélyezze a többtényezős hitelesítést. Tartsa naprakészen az összes szoftvert, operációs rendszert és biztonsági eszközt a legújabb javításokkal.

Legyen óvatos az e-mail mellékletek kezelésekor vagy a linkekre kattintáskor, különösen, ha ismeretlen forrásból származnak. Kerülje a nem megbízható webhelyekről származó szoftverek letöltését, illetve a legitim programok feltört verzióinak használatát. Ezek a gyakori vektorok azok, amelyek révén a zsarolóvírusok gyakran átcsúsznak a védelemen.

A biztonsági mentések fontossága

A biztonsági mentések továbbra is az egyik legerősebb ellenintézkedések a zsarolóvírusokkal szemben. A fontos fájlok másolatainak külön eszközön vagy biztonságos felhőszolgáltatásban való tárolása drasztikusan csökkentheti a károkat. Támadás esetén a rendszerek törölhetők és visszaállíthatók anélkül, hogy a támadóval kellene kapcsolatba lépni.

A biztonsági mentéseket azonban le kell választani a fő rendszerről, amikor nincsenek használatban, mivel sok zsarolóvírus-törzs megpróbálja megtalálni és titkosítani a csatlakoztatott biztonsági mentési meghajtókat is. Az ütemezett, automatikus biztonsági mentések megfelelő verziókövetéssel kínálják a legnagyobb ellenálló képességet.

Záró gondolatok

A TXTME emlékeztet mindenkit, hogy a zsarolóvírus-fenyegetések folyamatosan fejlődnek és alkalmazkodnak. Bár módszerei a Dharma család más törzseire emlékeztetnek, testreszabott funkciói – mint például a rendszer megmaradása, a tűzfal letiltása és a célzott regionális elkerülése – kifinomult tervezést mutatnak.

A kiberbűnözők folyamatosan új módszereket keresnek a sebezhetőségek kihasználására, de a tájékozottság fenntartása és a megfelelő kiberhigiénia fenntartása jelentős változást hozhat. A TXTME-hez hasonló fenyegetések működésének megértésével a felhasználók és a szervezetek jobban felkészülhetnek, reagálhatnak és helyreállhatnak – anélkül, hogy a digitális váltságdíj fizetésének csapdájába esnének.