Jeśli w ostatnich dniach otrzymałeś nieoczekiwane obrazy za pośrednictwem platform takich jak Facebook czy LinkedIn, najlepiej je całkowicie zignorować. Według firmy bezpieczeństwa Check Point, nowa kampania ransomware stara się infekować użytkowników za pomocą bardzo szczególnej metody, która polega na maskowaniu złośliwego pakietu jako obrazu JPG. Wszystko wskazuje na to, że ransomware jest wariantem znanego Locky, który dał się we znaki na początku tego roku.
2016 – rok ransomware
2016 był bez wątpienia rokiem ransomware. Jego twórcy potwierdzili, że ten mechanizm porywania danych działa bardzo dobrze, wykazując większą skuteczność przy atakach na konkretne miejsca, takie jak szpitale czy agencje rządowe. W obliczu możliwości trwałej utraty informacji ofiary decydują się płacić okup i podejmować działania później, ale wraz z każdym sukcesem ransomware staje się coraz bardziej złożone. Niepokojące jest to, że odpowiedzialni wystarczy tylko modyfikować istniejące ransomware, aby utrzymać koło w ruchu. W lutym Centrum Medyczne Presbyterian w Hollywood zapłaciło równowartość 17 tysięcy dolarów w bitcoinach, uwalniając swoją infrastrukturę od ransomware zwanego Locky. Obecność Locky znacznie spadła od czerwca, ale jeśli wierzyć nowemu raportowi Check Point, powrócił w bardzo interesującej formie.
https://www.youtube.com/embed/sGlrLFo43pYJak działa ImageGate?
Jak to zwykle bywa, Check Point postanowił nazwać kampanię ImageGate. Zasadniczo jest to nowy wektor ataku, który ukrywa ransomware pod postacią obrazu udostępnianego w mediach społecznościowych (z Facebookiem na czele) oraz innych platformach (wspomniano również o LinkedIn). W tym momencie brak wiedzy użytkownika działa na jego niekorzyść. Po kliknięciu w link do obrazu w rzeczywistości pobierany jest plik z rozszerzeniami SVG, JS lub HTA, a w typowym przypadku „ciekawość to pierwszy stopień do piekła”, podwójne kliknięcie tego pliku automatycznie uruchamia Locky. Wszyscy zgadzamy się, że to zbyt wiele błędów po stronie użytkownika, ale oczywiste jest, że kampania działa.
Jak się bronić?
Dopóki usługi online nie wdrożą niezbędnych zabezpieczeń, aby uniemożliwić takim robakom jak Locky wpływanie na miliony użytkowników, pierwszą linią obrony nie jest nic innego jak zdrowy rozsądek. Po pierwsze, nikt nie powinien klikać w nieproszone linki, nawet jeśli kontakt jest zaufany (dobrym pomysłem jest zapytać, o co chodzi). A jeśli z jakiegoś powodu klikniesz, kluczowe jest dokładne sprawdzenie rozszerzenia pliku. Jak zawsze: w razie wątpliwości – nie.
