2700 แรนซัมแวร์
ตัวแปรแรนซัมแวร์ที่ระบุว่าเป็น 2700 ถูกค้นพบระหว่างการวิเคราะห์ภัยคุกคามมัลแวร์ที่อาจเกิดขึ้น ซอฟต์แวร์ที่เป็นอันตรายนี้ใช้กลไกการเข้ารหัสไฟล์ โดยจะเข้ารหัสไฟล์และผนวกข้อมูลเฉพาะเข้ากับชื่อไฟล์ ข้อมูลที่ต่อท้ายประกอบด้วย ID ของเหยื่อ ที่อยู่อีเมล sqlback@memeware.net และนามสกุล '.2700'
นอกเหนือจากการดำเนินการเข้ารหัสแล้ว 2700 ยังทิ้งบันทึกเรียกค่าไถ่สองรายการชื่อ 'info.txt' และ 'info.hta' ซึ่งเป็นส่วนหนึ่งของวิธีการดำเนินการ โดยทั่วไปบันทึกเหล่านี้ประกอบด้วยคำแนะนำและความต้องการจากผู้โจมตีเกี่ยวกับการชำระค่าไถ่สำหรับคีย์ถอดรหัส
เพื่อแสดงให้เห็นว่า 2700 แก้ไขชื่อไฟล์อย่างไร ให้พิจารณาตัวอย่างต่อไปนี้: '1.png' อาจแปลงเป็น '1.jpg.id[9ECFA74E-3524].[sqlback@memeware.net].2700,' และ '2.doc' อาจกลายเป็น '2.png.id[9ECFA74E-3524].[sqlback@memeware.net].2700' รูปแบบการเปลี่ยนชื่อไฟล์นี้แสดงให้เห็นถึงวิธีการที่สอดคล้องกันซึ่งใช้โดย 2700 ในการผนวกข้อมูลเฉพาะของเหยื่อเข้ากับไฟล์ที่เข้ารหัส ผู้ใช้ที่พบกับแรนซัมแวร์ประเภทนี้ควรใช้ความระมัดระวังและใช้มาตรการรักษาความปลอดภัยที่เหมาะสมเพื่อปกป้องข้อมูลและระบบของตน มัลแวร์เรียกค่าไถ่ 2700 ตัวเชื่อมโยงกับมัลแวร์ตระกูล Phobos
แรนซัมแวร์ 2700 รีดไถเหยื่อเพื่อเงินโดยจับข้อมูลเป็นตัวประกัน
บันทึกค่าไถ่ที่เกี่ยวข้องกับ 2700 Ransomware ให้คำแนะนำโดยละเอียดแก่เหยื่อในการติดต่อกับผู้กระทำผิดผ่านที่อยู่อีเมลที่ระบุ sqlback@memeware.net โดยใช้ ID เฉพาะที่ระบุไว้ในหัวเรื่องของข้อความ การเรียกร้องค่าไถ่ โดยทั่วไปจะชำระเป็น Bitcoins จะแตกต่างกันไปขึ้นอยู่กับความเร็วของการตอบสนองต่อบันทึกค่าไถ่ของเหยื่อ
เพื่อส่งเสริมการปฏิบัติตามข้อกำหนด หมายเหตุดังกล่าวเสนอโอกาสที่จำกัดสำหรับเหยื่อในการส่งไฟล์สูงสุด 2 ไฟล์เพื่อถอดรหัสฟรี โดยที่ขนาดรวมไม่เกิน 2 เมกะไบต์ และไฟล์ดังกล่าวถือว่าไม่สำคัญ คำแนะนำนี้ยังแนะนำเหยื่อเกี่ยวกับกระบวนการรับ Bitcoins ข้อควรระวังในการเปลี่ยนชื่อไฟล์ที่เข้ารหัส และแนะนำไม่ให้พยายามถอดรหัสด้วยซอฟต์แวร์บุคคลที่สาม ซึ่งอาจส่งผลให้ข้อมูลสูญหายอย่างถาวร
ที่สำคัญ 2700 ดำเนินการเชิงกลยุทธ์เพื่อประนีประนอมการป้องกันของระบบเป้าหมาย โดยจะปิดการใช้งานไฟร์วอลล์ซึ่งเป็นมาตรการรักษาความปลอดภัยขั้นพื้นฐาน ส่งผลให้การป้องกันโดยรวมของระบบอ่อนแอลง นอกจากนี้ แรนซั่มแวร์ยังกำจัด Shadow Volume Copies อีกด้วย ซึ่งถือเป็นการปิดช่องทางในการกู้คืนข้อมูล ด้วยการใช้ช่องโหว่ในบริการ Remote Desktop Protocol (RDP) ทำให้ 2700 ได้รับการเข้าถึงโดยไม่ได้รับอนุญาตผ่านการโจมตีแบบ bruteforce และพจนานุกรม โดยเฉพาะอย่างยิ่งบนระบบที่มีข้อมูลรับรองบัญชีที่ได้รับการจัดการไม่ดี
นอกเหนือจากฟังก์ชันการเข้ารหัสและการประนีประนอมแล้ว 2700 ยังแสดงความสามารถขั้นสูงอีกด้วย โดยจะรวบรวมข้อมูลตำแหน่งและมีความสามารถในการยกเว้นตำแหน่งที่กำหนดไว้ล่วงหน้าโดยเฉพาะ ซึ่งจะช่วยยืดอายุและผลกระทบให้ยาวนานขึ้น กลยุทธ์ที่หลากหลายเหล่านี้ทำให้ 2700 กลายเป็นภัยคุกคามที่น่าเกรงขาม โดยเน้นย้ำถึงความสำคัญของการมีหลักปฏิบัติด้านความปลอดภัยทางไซเบอร์ที่ครอบคลุม และเพิ่มการรับรู้ในการรับมือกับผลกระทบที่เป็นอันตราย
สิ่งสำคัญคือต้องสร้างมาตรการรักษาความปลอดภัยที่แข็งแกร่งบนอุปกรณ์ทั้งหมด
การปกป้องอุปกรณ์จากภัยคุกคามแรนซัมแวร์ต้องใช้แนวทางที่ครอบคลุมซึ่งครอบคลุมการผสมผสานระหว่างมาตรการป้องกันและแนวปฏิบัติเชิงรุก ต่อไปนี้เป็นมาตรการสำคัญที่ผู้ใช้ควรใช้เสมอเพื่อปกป้องอุปกรณ์ของตนจากแรนซัมแวร์:
- การสำรองข้อมูลปกติ : การสร้างการสำรองข้อมูลสำคัญของคุณเป็นประจำบนที่จัดเก็บข้อมูลภายนอกและออฟไลน์ถือเป็นสิ่งสำคัญ สิ่งนี้ทำให้แน่ใจได้ว่าแม้ว่าอุปกรณ์จะถูกบุกรุก แต่ผู้ใช้สามารถกู้คืนไฟล์ที่ได้รับผลกระทบโดยไม่ต้องยอมจำนนต่อความต้องการค่าไถ่
- ซอฟต์แวร์รักษาความปลอดภัย : ติดตั้งซอฟต์แวร์ป้องกันมัลแวร์ที่มีชื่อเสียงบนอุปกรณ์ทั้งหมด จากนั้น ตรวจสอบให้แน่ใจว่าได้อัปเดตซอฟต์แวร์และทำการสแกนเป็นประจำเพื่อตรวจจับและกำจัดภัยคุกคามที่อาจเกิดขึ้น รวมถึงแรนซัมแวร์
- การอัปเดตซอฟต์แวร์ : ติดตั้งการอัปเดตใหม่สำหรับซอฟต์แวร์และระบบปฏิบัติการของคุณเสมอ อัปเดตด้วยแพตช์ความปลอดภัยล่าสุดเสมอ การอัปเดตเป็นประจำจะช่วยปิดช่องโหว่ที่แรนซัมแวร์และมัลแวร์อื่นๆ อาจใช้ประโยชน์
- การตระหนักรู้ถึงความปลอดภัยของอีเมล : ใช้ความระมัดระวังเมื่อเปิดไฟล์แนบอีเมลหรือตอบสนองต่อลิงก์ โดยเฉพาะในอีเมลจากแหล่งที่ไม่รู้จักหรือน่าสงสัย ระมัดระวังความพยายามในการฟิชชิ่ง ซึ่งเป็นวิธีการทั่วไปในการโจมตีแรนซัมแวร์
- การให้ความรู้แก่ผู้ใช้ : ให้ความรู้แก่ตัวคุณเองและผู้ใช้ของคุณเกี่ยวกับอันตรายของแรนซัมแวร์ ฝึกให้พวกเขารู้จักความพยายามในการฟิชชิ่ง ลิงก์ที่น่าสงสัย และความสำคัญของการไม่ดาวน์โหลดไฟล์จากแหล่งที่ไม่น่าเชื่อถือ
- Least Privilege Privilege Privilege: ยอมรับ หลักการของสิทธิพิเศษน้อยที่สุด จำกัดสิทธิ์การเข้าถึงของผู้ใช้เฉพาะสิ่งที่จำเป็นสำหรับบทบาทของตนเท่านั้น ซึ่งจะช่วยลดผลกระทบที่อาจเกิดขึ้นหากบัญชีถูกบุกรุก
- การแบ่งส่วนเครือข่าย : ดำเนินการแบ่งส่วนเครือข่ายเพื่อแยกระบบที่สำคัญออกจากส่วนที่เหลือของเครือข่าย ซึ่งจะช่วยป้องกันการเคลื่อนไหวด้านข้างของแรนซัมแวร์ภายในเครือข่าย
ด้วยการใช้มาตรการเหล่านี้อย่างสม่ำเสมอ ผู้ใช้จะสามารถเพิ่มมาตรการรักษาความปลอดภัยของอุปกรณ์ของตนได้อย่างมาก และลดโอกาสที่จะตกเป็นเหยื่อของการโจมตีด้วยแรนซัมแวร์
ผู้ที่ตกเป็นเหยื่อของ 2700 Ransomware จะได้รับบันทึกค่าไถ่ดังต่อไปนี้:
'All your files have been encrypted!
All your files have been encrypted due to a security problem with your PC. If you want to restore them, write us to the e-mail sqlback@memeware.net
Write this ID in the title of your message 9ECFA84E-3524
You have to pay for decryption in Bitcoins. The price depends on how fast you write to us. After payment we will send you the tool that will decrypt all your files.
Free decryption as guarantee
Before paying you can send us up to 2 files for free decryption. The total size of files must be less than 2Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins
The easiest way to buy bitcoins is the OKX website. You must register, click "Buy Bitcoins" and select a merchant by payment method and price.
hxxps://okx.com
You can also find other places to buy bitcoins and a beginner's guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.The text file created by 2700 Ransomware delivers the following message:
!!!All of your files are encrypted!!!
To decrypt them send e-mail to this address: sqlback@memeware.net.'
