Ransomware [1] [2] , ransomware [3] ( eng. ransomware - portti sanoista ransom - ransom ja software - software) - eräänlainen haittaohjelma , joka on suunniteltu kiristykseen , estää pääsyn tietokonejärjestelmään tai estää tietojen lukemisen tallennetaan siihen (usein salausmenetelmiä käyttäen) ja vaatii sitten uhrilta lunnaita palauttaakseen alkuperäisen tilan.
Tällä hetkellä kiristysohjelmien toimintaan on olemassa useita radikaalisti erilaisia lähestymistapoja:
Kun Trojan.Winlock\LockScreen on asennettu uhrin tietokoneelle, ohjelma lukitsee tietokoneen järjestelmätoimintojen avulla ja lisätään käynnistykseen (vastaaviin järjestelmärekisterin haaroihin). Samanaikaisesti käyttäjä näkee ruudulla kuvitteellisen viestin, esimerkiksi väitetysti laittomista toimista, jotka käyttäjä on juuri tehnyt (jopa linkeillä lakipykäläihin), ja kokemattoman käyttäjän pelotteluun tähtäävä lunnaita - lähetä maksettu tekstiviesti , täydentää jonkun toisen tiliä [4] , myös nimettömällä tavalla, kuten BitCoin. Lisäksi tämän tyyppiset troijalaiset eivät usein tarkista salasanaa. Tässä tapauksessa tietokone pysyy toimintakunnossa. Usein on olemassa uhka kaikkien tietojen tuhoutumisesta, mutta tämä on vain yritys pelotella käyttäjää [5] . Joskus virukseen sisältyy edelleen tietojen tuhoamistyökaluja, kuten epäsymmetrisen avaimen salaus, mutta ne joko eivät toimi kunnolla tai toteutus on heikko. Tiedossa on tapauksia, joissa itse Troijan koodissa on tiedoston salauksenpurkuavain, samoin kuin tekninen mahdottomuus purkaa tietoja hakkerin itsensä toimesta (maksetuista lunnaista huolimatta), koska jopa hän ei ole tai menettänyt tätä avainta.
Joskus on mahdollista päästä eroon viruksesta käyttämällä viruksentorjuntasivustoilla olevia estonpoistolomakkeita tai virustorjuntayritysten luomia erikoisohjelmia eri maantieteellisille alueille, joilla troijalaiset ovat aktiivisia ja pääsääntöisesti vapaasti saatavilla. Lisäksi joissakin tapauksissa vikasietotilassa on mahdollista löytää troijalainen prosessi tehtävänhallinnasta , löytää sen tiedosto ja poistaa se. On myös syytä ottaa huomioon, että troijalainen pystyy joissakin tapauksissa pysymään toiminnassa jopa vikasietotilassa. Tällaisissa tapauksissa sinun on siirryttävä vikasietotilaan komentorivillä ja suoritettava Explorer-prosessi konsolissa ja poistettava troijalainen tai käytettävä virustorjuntaohjelmien palveluita.
Kun ohjelma on asennettu uhrin tietokoneelle, se salaa suurimman osan työtiedostoista (esimerkiksi kaikki tiedostot, joilla on yhteiset tiedostotunnisteet). Tässä tapauksessa tietokone pysyy toimintakunnossa, mutta kaikkiin käyttäjätiedostoihin ei pääse käsiksi. Hyökkääjä lupaa lähettää ohjeet ja salasanan tiedostojen salauksen purkamiseen rahasta.
Salausvirukset ilmestyivät kronologisesti winlockersin jälkeen. Niiden jakelu liittyy UAC :n ja Microsoftin hot-fix-korjauksiin: järjestelmään rekisteröityminen ilman käyttäjien tietämättä muuttuu vaikeammaksi, mutta tietokone on suunniteltu toimimaan käyttäjätiedostojen kanssa! Ne voidaan vioittaa jopa ilman järjestelmänvalvojan oikeuksia.
Näitä huijauksia ovat mm
Kiristysohjelmiin liittyvät ohjelmat ovat teknisesti yleinen tietokonevirus tai verkkomato , ja tartunta tapahtuu samalla tavalla - massapostituksesta, kun suoritettava tiedosto käynnistetään, tai verkkopalvelun haavoittuvuuden kautta.
Tärkeimmät kiristysohjelmien jakelureitit: [6]
Yleiset henkilötietokurin säännöt:
Siinä tapauksessa, että tartunta on jo tapahtunut, kannattaa käyttää virustorjuntayritysten tarjoamia apuohjelmia ja palveluita. Tartunta ei kuitenkaan ole läheskään aina mahdollista eliminoida maksamatta lunnaita [8] .
Ransomware-virukset ovat tartuttaneet tietokoneiden käyttäjiä toukokuusta 2005 lähtien. Seuraavat tapaukset tunnetaan: TROJ.RANSOM.A, Archiveus, Krotten, Cryzip, MayArchive. Tunnetuin virus on Gpcode ja sen muunnelmat Gpcode.a, Gpcode.ac, Gpcode.ag, Gpcode.ak. Jälkimmäinen on huomionarvoinen siitä, että se käyttää RSA-algoritmia 1024-bittisellä avaimella tiedostojen salaamiseen.
Maaliskuussa 2013 Dr. Webistä löydettiin ArchiveLock-lunnasohjelma, joka hyökkäsi käyttäjiä vastaan Espanjassa ja Ranskassa , joka käyttää laillista WinRAR - arkistaattoria [9] tiedostojen salaamiseen haitallisten toimien suorittamiseen , ja sitten salauksen jälkeen poistaa alkuperäiset tiedostot pysyvästi Sysinternals SDelete -apuohjelmalla [10 ] .
Seuraava tosiasia puhuu nousevan rikollisen liiketoiminnan laajuudesta. Vuoden 2013 lopussa CryptoLocker-lunnasohjelma käytti Bitcoin - maksujärjestelmää lunnaiden keräämiseen. Joulukuussa 2013 Bitcoin-tapahtumia koskevien tietojen saatavuuden perusteella ZDNet arvioi tartunnan saaneiden käyttäjien varojen siirrot 15. lokakuuta ja 18. joulukuuta välisenä aikana. Pelkästään tämän ajanjakson loppuun mennessä CryptoLocker-operaattorit olivat onnistuneet keräämään noin 27 miljoonaa dollaria bitcoinien silloisella hinnalla. [yksitoista]
Tunnettuja hyökkäyksiä2017 : WannaCry (toukokuu) [12] ; Petya (kesäkuu) [13] [14] ; Bad Rabbit (lokakuu) [15]
Internetin avulla hyökkääjät voivat toimia kaikkialla maailmassa: vain Australiassa virallisten tietojen mukaan elokuusta joulukuuhun 2014 tapahtui noin 16 tuhatta online-kiristysjaksoa, kun taas lunnaiden kokonaissumma oli noin 7 miljoonaa dollaria [8] .
Venäjän jälkiAsiantuntijoiden mukaan epäsuorat merkit viittaavat ransomware-kehittäjien yhteyteen Venäjään ja entisiin Neuvostoliiton tasavaltoihin . Seuraavat tosiasiat puhuvat tämän version puolesta [16] :
Yrityksen julkaisut:
Artikkelit:
| Haittaohjelma | |
|---|---|
| Tarttuva haittaohjelma | |
| Piilotusmenetelmät | |
| Haittaohjelma voittoa varten |
|
| Käyttöjärjestelmien mukaan |
|
| Suojaus | |
| Vastatoimenpiteet |
|