MortalKombat Ransomware turi ryšių su Xorist

Nuo 2022 m. gruodžio mėn. „Cisco Talos“ tyrėjai stebėjo nežinomą subjektą, kuris naudojo dvi neseniai aptiktos kenkėjiškos programinės įrangos – „MortalKombat“ išpirkos reikalaujančios programos ir „Laplas Clipper“ kenkėjiškos programos GO variantą, kad pavogtų kriptovaliutą iš savo aukų.

Buvo pastebėta, kad užpuolikai ieško internete pažeidžiamų mašinų su atviru nuotolinio darbalaukio protokolu 3389 prievade, naudodami atsisiuntimo serverį, kuriame veikia KPP tikrinimo programa ir taip pat palengvina MortalKombat išpirkos reikalaujančią programinę įrangą. Remdamasis kodo, klasės pavadinimo ir registro raktų eilučių analize, Talos mano, kad MortalKombat ransomware yra Xorist šeimos dalis.

Užpuolikai nusitaikė į asmenis, mažas ir dideles įmones ir reikalavo išpirkos mokėjimų kriptovaliuta, kuri suteikia jiems keletą privalumų, tokių kaip anonimiškumas, decentralizacija ir reguliavimo trūkumas, todėl sunku juos sekti. Talos siūlo vartotojams ir organizacijoms būti atsargiems, kai atlieka kriptovaliutų operacijas, ir atkreipti dėmesį į gavėjo piniginės adresą.

Taip pat rekomenduojama atnaujinti kompiuterius su naujausiomis saugos pataisomis, įdiegti patikimus galinių taškų apsaugos sprendimus su elgesio aptikimo galimybėmis ir išlaikyti patikrintus, neprisijungus pasiekiamus galinių taškų atsarginių kopijų sprendimus su pagrįstu atkūrimo laiku, jei įvyktų išpirkos reikalaujančios programos ataka.

„MortalKombat“ infekcijos grandinė

Šioje konkrečioje kampanijoje sukčiavimo el. laiškas naudojamas kaip pradinis užkrėtimo vektorius, kuris suaktyvina sudėtingą atakų grandinę, kai užpuolikas diegia arba išpirkos reikalaujančią, arba kenkėjišką programą, o tada pašalina visus kenkėjiškos veiklos pėdsakus, kad būtų išvengta aptikimo ir analizės.

Sukčiavimo el. laiške yra kenkėjiškas ZIP failas, kuriame yra BAT įkėlimo scenarijus. Kai auka paleidžia scenarijų, ji atsisiunčia kitą žalingą ZIP failą iš užpuoliko valdomo serverio, automatiškai jį išpakuoja ir paleidžia naudingą apkrovą, kuri gali būti „Laplas Clipper“ kenkėjiškos programos GO variantas arba „MortalKombat“ išpirkos programa. BAT įkėlimo scenarijus vykdo numestą naudingą apkrovą aukos kompiuteryje ir pašalina visus atsisiųstų ir numestų kenkėjiškų failų pėdsakus, nepalikdamas jokių infekcijos požymių.

Pagrindinis šios atakos užkrėtimo būdas yra sukčiavimo el. laiškas, kuriame nusikaltėliai apsimeta „CoinPayments“, teisėtais kriptovaliutų mokėjimo šliuzais. Jie naudoja suklastotą el. pašto adresą „noreply at CoinPayments dot net“, o el. laiško tema yra „[CoinPayments dot net] Mokėjimo laikas baigėsi“. El. laiške taip pat yra kenkėjiško ZIP failo priedas, kurio failo pavadinimas panašus į el. laiško turinyje nurodytą operacijos ID, todėl gavėjas mano, kad jis tikras. Priede yra kenksminga GPGB įkėlimo programa, kuri suaktyvinama, kai vartotojas išpakuoja failą, kad peržiūrėtų jo turinį.

Kaip galite apsaugoti savo sistemą nuo Ransomware atakų?

Išpirkos reikalaujančios programinės įrangos atakos gali būti pražūtingos, dėl to prarandami jautrūs duomenys ir atsiranda didelių finansinių išlaidų. Norėdami apsaugoti savo sistemą nuo išpirkos reikalaujančių programų atakų, galite atlikti šiuos veiksmus:

• Kurkite atsargines duomenų kopijas: reguliariai kurkite atsargines duomenų kopijas neprisijungus esančiame įrenginyje, pvz., išoriniame standžiajame diske, ir išbandykite atsarginę kopiją, kad įsitikintumėte, jog ji tinkamai veikia.
• Atnaujinkite programinę įrangą: įdiekite operacinės sistemos ir programinės įrangos saugos naujinimus ir pataisas, kai tik jie bus pasiekiami.
• Naudokite antivirusinę programinę įrangą: įdiekite ir reguliariai atnaujinkite antivirusinę programinę įrangą, kad aptiktumėte ir pašalintumėte kenkėjiškas programas, kurios gali būti jūsų sistemoje.
• Būkite atsargūs atidarydami el. pašto priedus: neatidarykite el. laiškų priedų iš nežinomų siuntėjų arba tų, kurių nesitikėjote.
• Naudokite stiprius slaptažodžius: naudokite unikalius, stiprius slaptažodžius visoms paskyroms ir reguliariai juos keiskite.
• Įgalinti dviejų veiksnių autentifikavimą: įgalinkite dviejų veiksnių autentifikavimą visose paskyrose, kuriose tai siūloma, kad užtikrintumėte papildomą saugumo lygį.
• Būkite atsargūs dėl įtartinų nuorodų: nespustelėkite nuorodų iš nepatikimų šaltinių, ypač siunčiamų el. laiškais ar teksto pranešimais.