A zsarolóvírus a Ryukhoz és BitPaymerhez hasonlóan manuális komponensekkel is rendelkezik, azonban a Megacortex mögött álló bűnözők automatizáltabb eszközökkel hajtják végre a támadásokat – ez egyedinek számít. Egészen eddig a Sophos látott már automatikus, manuális és hibrid jellegű támadásokat, amelyek tipikusan inkább a manuális hackelési technikák irányába húznak a laterális mozgáshoz; a MegaCortex esetében a Sophos nagyobb mértékben használt automatizációt figyelt meg, amelyet a manuális komponenssel kombináltak. Ezt az új formulát arra tervezték, hogy a fertőzést minél több áldozathoz minél gyorsabban juttassa el.
A zsarolóüzenetben nincs konkrétan meghatározva a váltságdíj összege. A támadók utasítják az áldozatokat, hogy küldjenek nekik e-mailt két ingyenes mail.com-os cím egyikére, és az üzenethez csatolniuk kell egy, a zsarolóvírus által az áldozat gépére helyezett fájlt is, amellyel a titkosítás feloldásának „szolgáltatását” kérvényezik. A zsarolóüzenetben a digitális bűnözők azt is megígérik, hogy „garantálják, hogy a céget többé nem fogják zaklatni a jövőben", amennyiben az áldozat kifizeti a váltságdíjat, illetve hogy konzultálni fognak vele, hogyan tudná a cége digitális biztonságát javítani.
A Sophos a következőket javasolja a védelem kapcsán:
- Úgy tűnik, hogy összefüggés van a MegaCortex jelenléte és az áldozat hálózatán már meglévő, aktív Emotet és Qbot fertőzések között. Ha az IT menedzserek Emotet és Qbot fertőzéseket észlelnek, elsődleges prioritású feladatként kell kezelniük az elhárításukat. Mindkét bot használható arra, hogy más malware-t terjesszenek velük, és elképzelhető, hogy a MegaCortex fertőzések is így kezdődtek.
- A Sophos eddig nem talált arra utaló nyomot, hogy a távoli asztal protokollt (Remote Desktop Protocol, RDP) használták fel a hálózatokba való betörésre, azt azonban tudjuk, hogy a vállalati tűzfalak illetéktelenek RDP csatlakozását lehetővé tevő sebezhető pontjai továbbra is gyakoriak. Nem támogatjuk ezt a gyakorlatot, ha viszont egy IT admin továbbra is alkalmazni akarja, azt javasoljuk, hogy helyezze az RDP gépet egy VPNA mögé.
- A támadás körülményei arra is utalnak, hogy egy adminisztratív jelszóval éltek vissza a digitális bűnözők. Javasoljuk a kétlépcsős hitelesítés széles körű alkalmazását, amikor csak lehet.
- Készítsen a legfontosabb és aktuális adatairól rendszeres biztonsági mentést egy offline tárolóeszközre! Ez a legjobb módszer, hogy elkerülje a váltságdíj kifizetését.
- Használjon antizsarolóvírus-védelmi szoftvert, hogy blokkolja a MegaCortexet és a jövőbeli zsarolóvírusokat.
