Amerikai figyelmeztetés

Az Egyesült Államok Kiberbiztonsági és Infrastrukturális Biztonsági Ügynöksége (CISA) közzétett egy közszolgálati közleményt a #Stopransomware bannerje alatt.

Megváltó vagy „csak” leváltó lehet Magyar Péter? Kihúzza az Orbán-kormány 2026-ig?
Meddig marad szankciós listán Rogán Antal? Mi lesz a régi ellenzékkel?
Online Klasszis Klub élőben Kéri Lászlóval!

Vegyen részt és kérdezzen Ön is a politológustól!

2025. január 23. 15:30

A részvétel ingyenes, regisztráljon itt!

A közlemény a Royal néven ismert zsarolóvírus-családra összpontosít, a CISA nyíltan fogalmazó közérdekű közleményének legfontosabb tanulságai a következők:

Ezek a csalók bevált módszereket használnak a behatolásra. Ezek közé tartozik az adathalászat (a támadások kétharmadánál), a nem megfelelően konfigurált RDP szerverek felkutatása (a támadások egyhatodánál), a javítatlan online szolgáltatások keresése a hálózatodon vagy egyszerűen megvásárolják a hozzáférési hitelesítő adatokat a hálózatodat korábban meghackelő bűnözőktől. Azokat a kiberbűnözőket, akik megélhetési célból hozzáférési adatokat adnak el jellemzően adattolvajoknak és zsarolóvírus csoportoknak, a szakzsargon IAB-ként említi, amely az önleíró "initial access broker" kifejezés rövidítése.

A bejutást követően a csalók megpróbálják elkerülni olyan programok használatát, amelyek nyilvánvalóan malware-ként jelenhetnek meg. Vagy a meglévő adminisztrációs eszközöket keresik, vagy sajátot hoznak, tudva, hogy könnyebb elkerülni a gyanút, ha úgy "öltözködnek, beszélnek és viselkednek, mint egy helyi" - a zsargon kifejezésével élve "if you live off the land". A támadók által káros célra alkalmazott legitim eszközök közé tartoznak a hivatalos távoli hozzáféréshez, adminisztrációs parancsok távolról való futtatásához vagy tipikus rendszergazdai feladatokhoz gyakran használt segédprogramok. Példák:

  • PsExec a Microsoft Sysinternalstól;
  • az AnyDesk távoli elérési eszköz;
  • a Microsoft PowerShell, amely minden Windows-számítógépen előtelepítve van.  

A fájlok titkosítása előtt a támadók megpróbálják megbonyolítani a helyreállításhoz vezető utat. Megsemmisítik a volume shadow másolatokat (live Windows "visszaállítási" mentések. Saját nem hivatalos adminisztrátori fiókjukat is hozzáadják, így visszajuthatnak, ha el is távolítják őket a hálózatról, módosítják a biztonsági szoftver beállításait a riasztások elnémításához, átveszik az irányítást olyan fájlok felett, amelyeket egyébként nem tudnának titkosítani és összezavarják a rendszernaplóidat, hogy később nehezedre essen kinyomozni, mit változtattak meg.

Véleményvezér

Magyar Péter ezúttal nagyon bele szállt Gulyás Gergelybe

Magyar Péter ezúttal nagyon bele szállt Gulyás Gergelybe 

Kölcsönösen árulással vádolják egymást.
A szankciók hatására beállt a Gazprom a földbe

A szankciók hatására beállt a Gazprom a földbe 

Vége a Gazprom nagyhatalmi státuszának.
Bréking, Orbán Viktor a dzsungelbe tart

Bréking, Orbán Viktor a dzsungelbe tart 

Reméljük Orbán Viktor testőrei remek dzsungelharcosok.


Magyar Brands, Superbrands, Bisnode, Zero CO2 logo