A Cicada 3301 Ransomware számos operációs rendszert megtámad

Rendszeresen jelennek meg új ransomware-fenyegetések. Az egyik legveszélyesebb változat a Cicada 3301, egy zsarolóvírus-művelet, amely kifinomult technikáival és egy rejtélyes online mozgalommal való hátborzongató kapcsolatával hívta fel magára a figyelmet. A Cicada 3301 Ransomware, amelyet először 2024 júniusában észleltek, a korábbi zsarolóprogram-csoportok, például a BlackCat (más néven ALPHV) félelmetes utódjának tűnik, örökölve és továbbfejlesztve módszereiket.

Mi az a Cicada 3301 Ransomware?

A Cicada 3301 Ransomware egy új rosszindulatú programtörzs, amely a kis- és középvállalkozásokat (SMB-ket) célozza meg a rendszer sebezhetőségeinek kihasználásával. A Rust programozási nyelven írt ransomware rendkívül alkalmazkodóképes, és képes megtámadni a Windows és Linux alapú rendszereket. Először földalatti fórumokon jelent meg, és leányvállalatokat hívott meg, hogy csatlakozzanak a ransomware-as-a-service (RaaS) platformjához. Ebben a modellben a kiberbűnözők bérbe adhatják zsarolóprogramjaikat más támadóknak a haszon egy részéért.

A Cicada 3301 Ransomware megkülönböztető jellemzője, hogy képes a feltört felhasználók hitelesítő adatait beágyazni a végrehajtható fájlba. Ez a funkció kulcsfontosságú a zsarolóvírus hálózaton belüli terjesztéséhez, mivel olyan legitim eszközöket használ, mint a PsExec, amely lehetővé teszi a programok távoli futtatását Windows rendszereken. Ezzel a támadók oldalirányban mozoghatnak az áldozat hálózatán anélkül, hogy gyanút keltenének.

Hogyan működik a Ransomware?

A zsarolóprogramokat, beleértve a Cicada 3301-et is, úgy tervezték, hogy az áldozat fájljait titkosítással zárolják, majd fizetést követeljenek, jellemzően kriptovalutában, hogy visszaállítsák a hozzáférést. A titkosítási folyamat biztosítja, hogy a fájlok használhatatlanok legyenek mindaddig, amíg az áldozat ki nem fizeti a váltságdíjat, vagy vissza nem állítja a fájlokat biztonsági másolatokkal – ha léteznek ilyen biztonsági másolatok, és kompromisszumok nélkül maradnak. A zsarolóprogramok sok esetben letiltják a rendszer-helyreállító eszközöket, és törlik a biztonsági másolatokat, hogy az áldozat ne tudja könnyen visszaállítani adatait.

A Cicada 3301 Ransomware fejlett titkosítási módszereket használ, nevezetesen a ChaCha20 titkosítási algoritmust, amely rendkívül hatékony és nehezen feltörhető. Ez a zsarolóprogram bizonyos fájlkiterjesztéseket is megcéloz, például SQL, DOC, XLS, JPEG és sok más fájlt, zárolva a kritikus üzleti dokumentumokat, adatbázisokat és még a személyes médiafájlokat is.

Íme a váltságdíj megjegyzése is, amelyről ez a fertőzés csökken:

** Welcome to Cicada3301 **

** What Happened? **

Your computers and servers are encrypted, your backups are deleted.
We use strong encryption algorithms, so you won't be able to decrypt your data.
You can recover everything by purchasing a special data recovery program from us.
This program will restore your entire network.

** Data Leak **

We have downloaded more than 1500 GB of your company data.
Contact us, or we will be forced to publish all your data on the Internet
and send it to all regulatory authorities in your country, as well as to your customers, partners, and competitors.

We are ready to:

• Provide you with proof that the data has been stolen;
• Delete all stolen data;
• Help you rebuild your infrastructure and prevent similar attacks in the future;

** What Guarantees? **

Our reputation is of paramount importance to us.
Failure to fulfill our obligations means not working with you, which is against our interests.
Rest assured, our decryption tools have been thoroughly tested and are guaranteed to unlock your data.
Should any problems arise, we are here to support you. As a goodwill gesture,
we are willing to decrypt one file for free.

** How to Contact us? **

Using TOR Browser:
1) You can download and install the TOR browser from this site: hxxps://torproject.org/

2) Open our website:

WARNING: DO NOT MODIFY or attempt to restore any files on your own. This can lead to their permanent loss.

Mit akar a Cicada 3301?

A legtöbb zsarolóprogramhoz hasonlóan a Cicada 3301 elsődleges célja az anyagi haszonszerzés. Egy vállalkozás értékes adatainak titkosításával és működésének leállításával a támadók tetemes váltságdíjat követelhetnek a hozzáférés visszaállításáért. A kis- és középvállalkozások különösen sérülékenyek, mivel gyakran nem rendelkeznek a nagyobb vállalatok robusztus kiberbiztonsági védelmével, és hajlamosabbak a váltságdíj megfizetésére, hogy elkerüljék a hosszabb leállást.

Az egyik szempont, amely a Cicada 3301-et különösen veszélyessé teszi, az a lehetséges együttműködés más számítógépes bűnözői csoportokkal. A kutatók olyan bizonyítékokat tártak fel, amelyek arra utalnak, hogy a Cicada 3301 mögött álló üzemeltetők a Brutus botnet csoporttal dolgoznak azon, hogy kezdeti hozzáférést kapjanak a vállalati hálózatokhoz. Ez arra utal, hogy a zsarolóvírus-művelet egy nagyobb, összehangolt támadási stratégia része lehet, növelve annak elérhetőségét és hatékonyságát.

A Cicada 3301 által használt fejlett technikák

A Cicada 3301 ransomware sok hasonlóságot mutat elődjével, a BlackCattel, de néhány kulcsfontosságú frissítéssel. Különféle taktikákat alkalmaz a sebzés maximalizálása és az észlelés elkerülése érdekében. Például leállítja a virtuális gépeket (VM-ek) a célpont rendszerein, hogy biztosítsa a kritikus adatok titkosítását, még a virtuális környezetekben tárolt adatokat is. Ezt a technikát más nagy horderejű zsarolóvírus-csoportoknál is megfigyelték, mint például a Megazord és a Yanluowang.

Ezenkívül a Cicada 3301 lépéseket tesz a rendszer-helyreállítási és biztonsági mentési szolgáltatások letiltására, ami megnehezíti az áldozatok számára az adatok visszaállítását a váltságdíj megfizetése nélkül. Olyan eszközöket használ, mint bcdedit a rendszer-helyreállítási beállítások manipulálására, wevtutil pedig az összes eseménynapló törlésére, hatékonyan törli a nyomait. Ez a kifinomultsági szint kihívást jelent a biztonsági csapatok számára a támadás valós időben történő észlelésében és reagálásában.

Gyorsaságra és kijátszásra épített zsarolóprogram

A Cicada 3301 egyik innovatívabb funkciója a szakaszos titkosítás. Ez a módszer magában foglalja a nagyobb fájlok részeinek szelektív titkosítását, ami csökkenti a hatalmas mennyiségű adat zárolásához szükséges időt. A 100 MB-nál nagyobb fájlok titkosításával a Cicada 3301 gyorsan működésképtelenné teheti a nagy adatbázisokat és más kritikus fájlokat, így a vállalkozások működésképtelenné válnak.

Egy másik egyedülálló funkció a fájlok titkosításának folytatása a virtuális gépek futása közben is a "no_vm_ss" paraméter használatával. Ez a megközelítés lehetővé teszi a ransomware számára az adatok titkosítását anélkül, hogy le kellene kapcsolnia a virtuális gépeket, minimálisra csökkentve a működési zavarokat, és elősegítve, hogy a zsarolóprogram hosszabb ideig észrevétlen maradjon.

Hogyan védje meg magát a Cicada 3301-től

A Cicada 3301 Ransomware megjelenése megerősíti, hogy a vállalkozásoknak erős kiberbiztonsági védelmet kell fenntartaniuk. A ransomware elleni védekezés első lépése annak biztosítása, hogy minden szoftver, különösen az operációs rendszerek és a biztonsági eszközök naprakészek legyenek. Az elavult szoftverek biztonsági rései a zsarolóvírus-támadások leggyakoribb belépési pontjai.

Ezenkívül a szervezeteknek többrétegű biztonsági megközelítést kell alkalmazniuk, amely magában foglalja:

• Rendszeres biztonsági mentések : Gondoskodjon arról, hogy az adatokról rendszeresen készüljön biztonsági mentés, és a fő hálózattól elszigetelt helyen legyenek tárolva. Ez lehetővé teszi a vállalkozások számára, hogy a váltságdíj megfizetése nélkül visszanyerjék adataikat.
• Hálózati szegmentáció : Hálózataik szegmentálásával a szervezetek korlátozhatják a zsarolóvírusok terjedését, ha sikerül behatolni a rendszerbe.
• Munkavállalók képzése : Az emberi hiba, például egy rosszindulatú hivatkozásra kattintás vagy egy gyanús melléklet letöltése, továbbra is a zsarolóprogram-fertőzések egyik vezető oka. A rendszeres képzés és az adathalász szimulációk csökkenthetik ezt a kockázatot.
• Endpoint Detection and Response (EDR) : A fejlett biztonsági megoldások képesek észlelni és mérsékelni a zsarolóvírusokat, mielőtt azok a hálózaton keresztül elterjednének. Egyes zsarolóvírusok, köztük a Cicada 3301, megpróbálják megkerülni az EDR-eszközöket, ezért kulcsfontosságú a robusztus, naprakész megoldások használata.

A nyugtalanító kapcsolat a Cicada 3301 rejtvényhez

A Cicada 3301 Ransomware megosztja a nevét egy rejtélyes online mozgalommal, amely összetett kriptográfiai rejtvények létrehozásáról ismert. Az eredeti Cicada 3301 csoport azonban nyilvánosan elhatárolta magát ettől a zsarolóvírus-művelettől, és kijelentette, hogy nincs kapcsolatban a bűnözői tevékenységgel. Hogy ez a zsarolóvírus-készítők kísérlete, hogy az eredeti csoport misztikumából kölcsönözzenek, vagy puszta véletlen egybeesés, továbbra sem világos.

Ettől függetlenül a Cicada 3301 ransomware megjelenése új fejezetet jelent a kiberbűnözők és a kiberbiztonsági szakemberek között folyó harcban. Ha megérti, hogyan működik ez a zsarolóvírus, és proaktív lépéseket tesz az ellene való védekezés érdekében, a vállalkozások minimálisra csökkenthetik annak kockázatát, hogy a következő áldozattá váljanak.