Cicada 3301 Ransomware atakuoja kelias operacines sistemas

Reguliariai atsiranda naujų „ransomware“ grėsmių. Vienas iš potencialiai pavojingiausių variantų yra Cicada 3301, išpirkos reikalaujančios programos operacija, kuri sulaukė dėmesio dėl savo sudėtingų technikų ir baisaus ryšio su paslaptingu internetiniu judėjimu. Pirmą kartą pastebėta 2024 m. birželio mėn., „Cicada 3301 Ransomware“, atrodo, yra didžiulis ankstesnių išpirkos programų grupių, tokių kaip „BlackCat“ (taip pat žinomas kaip ALPHV), įpėdinis, paveldėjęs ir tobulinantis jų metodus.

Kas yra „Cicada 3301 Ransomware“?

„Cicada 3301 Ransomware“ yra nauja kenkėjiškų programų atmaina, skirta mažoms ir vidutinėms įmonėms (MVĮ), išnaudojant sistemos pažeidžiamumą. Parašyta Rust programavimo kalba, ši išpirkos reikalaujanti programa yra labai pritaikoma ir gali atakuoti Windows ir Linux sistemas. Pirmą kartą ji pasirodė pogrindiniuose forumuose, kviečiant filialus prisijungti prie jos išpirkos reikalaujančios programinės įrangos kaip paslaugos (RaaS) platformos. Pagal šį modelį kibernetiniai nusikaltėliai gali išnuomoti savo išpirkos reikalaujančią programinę įrangą kitiems užpuolikams, kad gautų dalį pelno.

Išskirtinis Cicada 3301 Ransomware bruožas yra jos gebėjimas į savo vykdomąjį failą įterpti pažeistų vartotojų kredencialus. Ši funkcija yra labai svarbi platinant išpirkos reikalaujančią programinę įrangą tinkle, nes ji naudoja teisėtus įrankius, tokius kaip PsExec, kurie leidžia nuotoliniu būdu vykdyti programas Windows sistemose. Tai darydami užpuolikai gali judėti į šoną aukos tinkle nesukeldami įtarimo.

Kaip veikia Ransomware?

Išpirkos reikalaujančios programos, įskaitant „Cicada 3301“, yra skirtos užrakinti aukos failus juos užšifruojant ir tada reikalauti sumokėti, paprastai kriptovaliuta, kad būtų atkurta prieiga. Šifravimo procesas užtikrina, kad failai būtų netinkami naudoti, kol auka nesumokės išpirkos arba neatgaus failų naudodama atsargines kopijas – jei tokios atsarginės kopijos egzistuoja ir lieka be kompromisų. Daugeliu atvejų išpirkos reikalaujančios programos taip pat išjungia sistemos atkūrimo įrankius ir ištrina atsargines kopijas, kad auka negalėtų lengvai atkurti savo duomenų.

Cicada 3301 Ransomware naudoja pažangius šifravimo metodus, ypač ChaCha20 šifravimo algoritmą, kuris yra labai efektyvus ir sunkiai sulaužomas. Ši išpirkos programa taip pat taikoma tam tikriems failų plėtiniams, pvz., SQL, DOC, XLS, JPEG ir daugeliui kitų, užrakinant svarbius verslo dokumentus, duomenų bazes ir net asmeninius medijos failus.

Čia taip pat yra išpirkos pažyma, kad ši infekcija sumažėja:

** Welcome to Cicada3301 **

** What Happened? **

Your computers and servers are encrypted, your backups are deleted.
We use strong encryption algorithms, so you won't be able to decrypt your data.
You can recover everything by purchasing a special data recovery program from us.
This program will restore your entire network.

** Data Leak **

We have downloaded more than 1500 GB of your company data.
Contact us, or we will be forced to publish all your data on the Internet
and send it to all regulatory authorities in your country, as well as to your customers, partners, and competitors.

We are ready to:

• Provide you with proof that the data has been stolen;
• Delete all stolen data;
• Help you rebuild your infrastructure and prevent similar attacks in the future;

** What Guarantees? **

Our reputation is of paramount importance to us.
Failure to fulfill our obligations means not working with you, which is against our interests.
Rest assured, our decryption tools have been thoroughly tested and are guaranteed to unlock your data.
Should any problems arise, we are here to support you. As a goodwill gesture,
we are willing to decrypt one file for free.

** How to Contact us? **

Using TOR Browser:
1) You can download and install the TOR browser from this site: hxxps://torproject.org/

2) Open our website:

WARNING: DO NOT MODIFY or attempt to restore any files on your own. This can lead to their permanent loss.

Ko nori „Cicada 3301“?

Kaip ir daugelio išpirkos reikalaujančių programų, „Cicada 3301“ pagrindinis tikslas yra finansinė nauda. Užšifruodami vertingus įmonės duomenis ir sustabdę jos veiklą, užpuolikai gali reikalauti didelių išpirkų, kad atkurtų prieigą. Mažos ir vidutinės įmonės yra ypač pažeidžiamos, nes joms dažnai trūksta tvirtų didesnių korporacijų kibernetinio saugumo apsaugos priemonių ir jos gali būti labiau linkusios mokėti išpirką, kad išvengtų ilgų prastovų.

Vienas aspektų, dėl kurių „Cicada 3301“ yra ypač pavojingas, yra galimas bendradarbiavimas su kitomis elektroninių nusikaltimų grupėmis. Tyrėjai atskleidė įrodymų, kad Cicada 3301 operatoriai gali dirbti su Brutus botnet grupe, kad gautų pradinę prieigą prie įmonės tinklų. Tai rodo, kad „ransomware“ operacija galėtų būti didesnės, koordinuotos atakos strategijos dalis, padidinanti jos pasiekiamumą ir efektyvumą.

Cicada 3301 naudojami pažangūs metodai

„Cicada 3301“ išpirkos reikalaujanti programa turi daug panašumų su savo pirmtaku „BlackCat“, tačiau su kai kuriais pagrindiniais atnaujinimais. Ji naudoja įvairias taktikas, kad padidintų žalą ir išvengtų aptikimo. Pavyzdžiui, ji sustabdo virtualiąsias mašinas (VM), veikiančias tikslinėse sistemose, kad užtikrintų, jog svarbūs duomenys, net ir tie, kurie yra priglobti virtualioje aplinkoje, būtų užšifruoti. Šis metodas taip pat buvo pastebėtas kitose aukšto lygio išpirkos programų grupėse, tokiose kaip Megazord ir Yanluowang.

Be to, Cicada 3301 imasi veiksmų, kad išjungtų sistemos atkūrimo ir atsarginių kopijų kūrimo paslaugas, todėl aukoms bus sunkiau atkurti savo duomenis nemokant išpirkos. Sistemos atkūrimo parametrams valdyti naudoja tokius įrankius kaip bcdedit , o wevtutil , kad išvalytų visus įvykių žurnalus ir veiksmingai ištrintų pėdsakus. Dėl tokio sudėtingumo saugumo komandoms sunku aptikti ataką ir į ją reaguoti realiuoju laiku.

Išpirkos reikalaujanti programa, sukurta siekiant greitumo ir išsisukinėjimo

Viena iš naujoviškesnių „Cicada 3301“ funkcijų yra pertraukiamas šifravimas. Šis metodas apima selektyvią didesnių failų dalių šifravimą, todėl sutrumpėja laikas, per kurį užrakinamas didžiulis duomenų kiekis. Šifruodama tik didesnius nei 100 MB failus, „Cicada 3301“ gali greitai sugadinti dideles duomenų bazes ir kitus svarbius failus, todėl įmonės negali veikti.

Kita unikali savybė yra galimybė toliau šifruoti failus, net kai veikia virtualios mašinos, naudojant parametrą „no_vm_ss“. Šis metodas leidžia išpirkos reikalaujančiajai programai užšifruoti duomenis neišjungiant virtualių mašinų, taip sumažinant veiklos sutrikimus ir padedant išpirkos reikalaujančiajai programinei įrangai likti nepastebėtai ilgesnį laiką.

Kaip apsisaugoti nuo Cicada 3301

Cicada 3301 Ransomware atsiradimas sustiprina įmonių poreikį išlaikyti tvirtą kibernetinio saugumo apsaugą. Pirmas žingsnis ginantis nuo išpirkos reikalaujančių programų – užtikrinti, kad visa programinė įranga, ypač operacinės sistemos ir saugos įrankiai, būtų atnaujinta. Pasenusios programinės įrangos pažeidžiamumas yra vienas iš dažniausiai pasitaikančių išpirkos reikalaujančių programų atakų taškų.

Be to, organizacijos turėtų įgyvendinti daugiasluoksnį saugumo metodą, kuris apima:

• Reguliarūs atsarginės kopijos : Užtikrinkite, kad duomenų atsarginės kopijos būtų reguliariai kuriamos ir saugomos nuo pagrindinio tinklo atskirtose vietose. Tai leis įmonėms susigrąžinti savo duomenis nemokant išpirkos.
• Tinklo segmentavimas : suskirstydamos tinklus organizacijos gali apriboti išpirkos reikalaujančios programinės įrangos plitimą, jei jai pavyktų įsiskverbti į sistemą.
• Darbuotojų mokymas : žmogiškoji klaida, pvz., kenkėjiškos nuorodos spustelėjimas arba įtartino priedo atsisiuntimas, išlieka pagrindine išpirkos reikalaujančių programų infekcijų priežastimi. Reguliarus mokymas ir sukčiavimo imitavimas gali sumažinti šią riziką.
• Endpoint Detection and Response (EDR) : pažangūs saugos sprendimai gali aptikti ir sušvelninti išpirkos reikalaujančią programinę įrangą prieš jai išplitus tinkle. Kai kurios išpirkos reikalaujančios programos, įskaitant Cicada 3301, bando apeiti EDR įrankius, todėl labai svarbu naudoti patikimus, naujausius sprendimus.

Nerimą keliantis ryšys su „Cicada 3301“ galvosūkiu

Cicada 3301 Ransomware dalijasi savo pavadinimu su mįslingu internetiniu judėjimu, žinomu dėl sudėtingų kriptografinių galvosūkių kūrimo. Tačiau pradinė grupė „Cicada 3301“ viešai atsiribojo nuo šios išpirkos reikalaujančios programos ir pareiškė, kad ji nėra susijusi su nusikalstama veikla. Ar tai išpirkos reikalaujančių programų kūrėjų bandymas pasiskolinti iš pradinės grupės paslapties, ar tik sutapimas, lieka neaišku.

Nepaisant to, Cicada 3301 išpirkos reikalaujančios programinės įrangos pasirodymas žymi naują skyrių vykstančioje kovoje tarp kibernetinių nusikaltėlių ir kibernetinio saugumo profesionalų. Suprasdamos, kaip veikia ši išpirkos reikalaujanti programinė įranga, ir imdamosi aktyvių veiksmų, kad apsisaugotų nuo jos, įmonės gali sumažinti riziką tapti kita auka.