Ransomware SuperBlack: Kolejne zagrożenie, którego należy unikać

Zrozumienie oprogramowania ransomware SuperBlack

SuperBlack to odmiana ransomware, która prawdopodobnie pochodzi z rodziny ransomware LockBit 3.0 . Ta infekcja szyfruje pliki i żąda okupu za ich odszyfrowanie, pozostawiając ofiarom niewiele lub żadnych opcji odzyskiwania plików, chyba że mają kopie zapasowe. Po infekcji SuperBlack zmienia nazwy plików, dodając losowy ciąg do ich oryginalnych nazw. Na przykład plik o nazwie „document.pdf” może stać się „document.pdf.fB1SZ2i3X”.

Oprócz szyfrowania danych, SuperBlack modyfikuje tapetę pulpitu ofiary i upuszcza notatkę o okupie zatytułowaną losowo wygenerowanym ciągiem (np. „[random_string].README.txt”). Notatka o okupie instruuje ofiarę, jak skontaktować się z atakującymi i ostrzega przed korzystaniem z narzędzi odzyskiwania danych innych firm, twierdząc, że mogą one trwale uszkodzić zaszyfrowane pliki.

Oto treść listu z żądaniem okupu:

>>>> Your data are stolen and encrypted!

>>>> Sensitive data on your system was DOWNLOADED and it will be PUBLISHED if you refuse to cooperate. Your competitors or law enforcement may get them on the web.

Data includes:
- Employees personal data, CVs, DL, SSN.
- Complete network map including credentials for local and remote services.
- Financial information including clients data, bills, budgets, annual reports, bank statements.
- Complete datagrams/schemas/drawings for manufacturing in solidworks format
- And more...

You can request the tree of files that we have.

>>>> You need contact us and decrypt one file for free, send a small file for test decryption with your personal DECRYPTION ID to tox chat:

>>>> Your personal DECRYPTION ID: 7FBC34A4128F7B75E19B7F2A4E1938A0

1)Download and install TOX chat: hxxps://tox.chat
2)Write to this tox id: DED25DCB2AAAF65A05BEA584A0D1BB1D55DD 2D8BB4185FA39B5175C60C8DDD0C0A7F8A8EC815 and wait for the answer, we will always answer you.

>>>> DO NOT MODIFY FILES YOURSELF.
>>>> DO NOT USE THIRD PARTY SOFTWARE TO RESTORE YOUR DATA.
>>>> YOU MAY DAMAGE YOUR FILES, IT WILL RESULT IN PERMANENT DATA LOSS.
>>>> YOUR DATA IS STRONGLY ENCRYPTED, YOU CAN NOT DECRYPT IT WITHOUT CIPHER KEY.

Taktyka i cele ransomware SuperBlack

SuperBlack jest używany głównie przez grupę cyberprzestępców znaną jako „Mora_001”, podejrzewaną o bycie rosyjskojęzycznym aktorem zagrożenia. Ta kampania ransomware była najbardziej aktywna między styczniem a marcem 2025 r. Grupa infiltruje systemy ofiar, szyfrując ich pliki i kradnąc poufne dane. Skradzione informacje obejmują szczegóły sieciowe, zapisy finansowe, dane produkcyjne oraz dane osobowe pracowników i klientów.

W liście o okupie napisano, że jeśli ofiara odmówi podporządkowania się, atakujący ujawnią skradzione dane online. Aby wywrzeć jeszcze większą presję na swoje ofiary, atakujący oferują udowodnienie eksfiltracji danych poprzez dostarczenie próbki i zademonstrowanie odszyfrowania jednego zaszyfrowanego pliku. Ta taktyka opiera się na strachu i pośpiechu, zwiększając prawdopodobieństwo, że ofiary ulegną żądaniom okupu.

Powiązanie SuperBlack z ransomware LockBit

Dowody wskazują, że SuperBlack ma podobieństwa do ransomware LockBit, szczególnie w strukturze kodu i technikach szyfrowania. Ponadto zaobserwowano, że SuperBlack używa identyfikatorów Tox (anonimowych identyfikatorów wiadomości) wcześniej powiązanych z operatorami LockBit. Jednak SuperBlack nie używa infrastruktury LockBit, co wskazuje, że chociaż oba szczepy ransomware mogą być połączone, są to odrębne jednostki z oddzielnymi operacjami.

W przeciwieństwie do ataków ukierunkowanych, kampanie SuperBlack są oportunistyczne, co oznacza, że wykorzystują podatne systemy bez określonego celu. Wiadomo, że atakujący wykorzystują słabości zabezpieczeń w zaporach Fortinet, aby uzyskać początkowy dostęp, po czym eskalują uprawnienia, ustanawiają trwałość i poruszają się poziomo w sieci. Ostatni etap ataku kończy się eksfiltracją danych, po której następuje szyfrowanie plików.

Co się stanie, jeśli zostaniesz zarażony?

W przypadku większości ataków ransomware odszyfrowanie bez współpracy atakującego jest niemal niemożliwe. Cyberprzestępcy stosują zaawansowane techniki szyfrowania, co utrudnia ekspertom ds. bezpieczeństwa opracowanie narzędzi do odszyfrowywania. SuperBlack nie jest wyjątkiem. Ofiary, które nie mają kopii zapasowych, często stają w obliczu trwałej utraty danych.

Nawet jeśli ofiary zapłacą okup, nikt nie może być pewien, że otrzymają klucz deszyfrujący. Wiele grup cyberprzestępczych nie zapewnia niezbędnych narzędzi nawet po zapłaceniu i płaceniu tylko środków, co prowadzi do dalszych działań przestępczych. Eksperci ds. bezpieczeństwa stanowczo odradzają płacenie okupu i zamiast tego zalecają usunięcie złośliwego oprogramowania i próbę odzyskania danych z kopii zapasowych.

Jak rozprzestrzenia się ransomware

Ransomware, takie jak SuperBlack, rozprzestrzenia się poprzez różne wektory ataku. Niektóre z najczęstszych metod obejmują:

• Wiadomości e-mail typu phishing: atakujący wykorzystują fałszywe wiadomości e-mail zawierające złośliwe linki lub załączniki, które uruchamiają oprogramowanie ransomware.
• Wykorzystywanie luk w zabezpieczeniach oprogramowania: Hakerzy wykorzystują nieaktualne lub niezałatane oprogramowanie, na przykład luki w zabezpieczeniach zapór sieciowych, aby uzyskać dostęp.
• Pobieranie plików bez wiedzy użytkownika: Użytkownicy nieświadomie pobierają ransomware, odwiedzając zainfekowane witryny internetowe lub klikając złośliwe reklamy.
• Programy pobierające trojany: Niektóre programy złośliwe instalują oprogramowanie ransomware jako dodatkowy ładunek bez wiedzy użytkownika.
• Pirackie oprogramowanie i cracki: Nielegalne pobieranie oprogramowania często zawiera ukryte złośliwe oprogramowanie, w tym oprogramowanie wymuszające okup.
• Nośniki wymienne i rozprzestrzenianie się w sieci: oprogramowanie ransomware może rozprzestrzeniać się za pośrednictwem dysków USB, zewnętrznych dysków twardych, a nawet w sieciach lokalnych.

Ochrona przed ransomware SuperBlack

Zapobieganie infekcjom ransomware wymaga połączenia proaktywnych środków bezpieczeństwa i świadomości użytkownika. Oto kilka najlepszych praktyk ochrony przed SuperBlack i podobnymi zagrożeniami:

• Przechowuj kopie zapasowe w wielu lokalizacjach: Regularnie twórz kopie zapasowe ważnych danych na dyskach zewnętrznych, w chmurze i w trybie offline, aby mieć pewność, że będzie można je odzyskać.
• Stosuj skuteczne rozwiązania zabezpieczające: zainstaluj i utrzymuj aktualne narzędzia antywirusowe i chroniące przed złośliwym oprogramowaniem w celu wykrywania i blokowania zagrożeń.
• Regularnie aktualizuj oprogramowanie: usuwaj luki w zabezpieczeniach systemu operacyjnego, zapór sieciowych i innego oprogramowania, aby ograniczyć ryzyko ataków.
• Zachowaj ostrożność w stosunku do wiadomości e-mail i linków: Unikaj otwierania załączników i klikania linków pochodzących od nieznanych nadawców, ponieważ mogą one zawierać oprogramowanie ransomware.
• Pobieraj oprogramowanie ze sprawdzonych źródeł: Korzystaj wyłącznie z oficjalnych stron internetowych i renomowanych sklepów z aplikacjami, aby pobierać oprogramowanie i aktualizacje.
• Ogranicz uprawnienia administracyjne: Ogranicz uprawnienia użytkowników, aby zapobiec nieautoryzowanym zmianom plików systemowych.
• Stosuj uwierzytelnianie wieloskładnikowe (MFA): Wzmocnij bezpieczeństwo, wymagając wieloetapowego uwierzytelniania w przypadku kont poufnych.

Co robić w przypadku zakażenia

Jeśli Twój system został zainfekowany ransomware SuperBlack, natychmiast wykonaj następujące czynności:

1. Odłącz się od sieci: Odizoluj zainfekowany system, aby zapobiec rozprzestrzenianiu się oprogramowania ransomware na inne urządzenia.
2. Nie płać okupu: Zapłacenie okupu nie gwarantuje odzyskania plików, a może zachęcić do dalszych ataków.
3. Usuń złośliwe oprogramowanie: Użyj oprogramowania zabezpieczającego, aby przeskanować komputer i usunąć oprogramowanie ransomware.
4. Próba odzyskiwania danych: Przywróć pliki z kopii zapasowych, jeśli są dostępne. Sprawdź zasoby zabezpieczeń online pod kątem potencjalnych narzędzi deszyfrujących.
5. Zgłoś atak: Powiadom organy ścigania i agencje ds. cyberbezpieczeństwa, aby pomóc w namierzeniu sprawców ataku.

Kluczowe ujęcia

Ransomware SuperBlack to wyrafinowane i niebezpieczne złośliwe oprogramowanie, które szyfruje pliki i grozi wyciekiem skradzionych danych, jeśli ofiara nie spełni żądań okupu. Choć ma pewne podobieństwa do ransomware LockBit, działa niezależnie, wykorzystując własną infrastrukturę i metodologie.

Ofiary nigdy nie powinny płacić okupu, ponieważ wspiera to działalność przestępczą i nie gwarantuje odzyskania danych. Zamiast tego powinny skupić się na usuwaniu złośliwego oprogramowania, wzmacnianiu środków bezpieczeństwa i utrzymywaniu regularnych kopii zapasowych. Dzięki pozostawaniu poinformowanym i stosowaniu najlepszych praktyk cyberbezpieczeństwa użytkownicy mogą zmniejszyć ryzyko ataków ransomware, takich jak SuperBlack.