FIND Ransomware

Der Schutz Ihrer Geräte vor Malware ist mittlerweile eine Notwendigkeit und keine Option mehr. Cyberkriminelle entwickeln ihre Taktiken ständig weiter und entwickeln immer komplexere Ransomware-Varianten, die selbst kleinste Sicherheitslücken ausnutzen. FIND Ransomware, eine kürzlich entdeckte Variante der berüchtigten Dharma-Familie, veranschaulicht die Raffinesse und Hartnäckigkeit moderner Ransomware-Operationen.

Einblicke in den FIND-Ransomware-Angriff

FIND Ransomware arbeitet mit der gleichen gnadenlosen Effizienz, die Dharma zu einer der aktivsten Ransomware-Familien gemacht hat. Nach der Ausführung verschlüsselt die Malware die Dateien des Opfers und macht sie unzugänglich. Dabei benennt sie jede Datei um, indem sie die eindeutige ID des Opfers, eine vom Angreifer kontrollierte E-Mail-Adresse und die Erweiterung „.FIND“ anhängt – zum Beispiel wird „1.png“ in „1.png.id-9ECFA84E.[findourtxt@tuta.io]“ umbenannt.
].FIND.‘ Eine andere beobachtete Variante dieser Bedrohung verwendet stattdessen die Erweiterung ‚.FIND5‘.

Nach der Verschlüsselung übermittelt die Ransomware ihre Forderungen über zwei Kanäle: eine Popup-Nachricht und eine Lösegeldforderung mit dem Titel „info.txt“. Die Nachricht informiert die Opfer über die Verschlüsselung ihrer Dateien und fordert sie auf, die Angreifer über eine von zwei E-Mail-Adressen – „findourtxt@tuta.io“ oder „findourtxt@mailum.com“ – unter Verwendung ihrer zugewiesenen ID zu kontaktieren.

In der Lösegeldforderung heißt es weiter, dass einige Daten des Opfers exfiltriert wurden. Bei Nichtbefolgung der Aufforderung werden die gestohlenen Informationen verkauft oder an Dritte weitergegeben. Opfer werden außerdem davon abgeraten, Dateien umzubenennen oder zu versuchen, Daten mit Drittanbieter-Tools zu entschlüsseln. Dies könne zu dauerhaftem Datenverlust oder höheren Lösegeldforderungen führen.

Funktionsweise der FIND-Ransomware

Wie andere Dharma-Varianten folgt auch FIND Ransomware einem mehrstufigen Infektionsprozess, der auf maximale Wirkung und Persistenz ausgelegt ist. Sobald die Malware auf einem System aktiv ist, verschlüsselt sie Dateien auf lokalen und Netzwerklaufwerken. Dabei zielt sie auf eine Vielzahl von Datentypen ab und löscht sogar Volumeschattenkopien, um eine einfache Wiederherstellung zu verhindern.

Darüber hinaus manipuliert der Schädling die Systemeinstellungen, indem er die Windows-Firewall deaktiviert, Persistenz durch das Ablegen von Kopien im Verzeichnis %LOCALAPPDATA% gewährleistet und Einträge in den Run-Registrierungsschlüsseln hinzufügt. Darüber hinaus sammeln einige Dharma-basierte Varianten Standortdaten und schließen bestimmte Systemordner oder Laufwerke von der Verschlüsselung aus, wahrscheinlich aus operativen oder strategischen Gründen.

Infektionsvektoren und Verbreitungswege

FIND Ransomware verbreitet sich wie ihre Vorgänger durch eine Kombination aus irreführenden und opportunistischen Methoden. Cyberkriminelle nutzen Phishing-Kampagnen, schädliche Anhänge und betrügerische Links in E-Mails, um Benutzer zur Infektion zu verleiten. Weitere gängige Verbreitungsmethoden sind:

1. Drive-by-Downloads von kompromittierten oder bösartigen Websites.
2. Installation über Raubkopien, gefälschte Updates oder geknackte Anwendungen.
3. Ausnutzung ungepatchter Software-Schwachstellen und schwacher Remote Desktop Protocol (RDP)-Konfigurationen.
4. Schädliche Werbung, P2P-Netzwerke und infizierte Wechseldatenträger (USBs).

Nach der Installation verschlüsselt FIND wichtige Daten und verlangt eine Zahlung, oft in Kryptowährung, um einen Entschlüsselungsschlüssel bereitzustellen. Allerdings gibt es keine Garantie dafür, dass die Zahlung zu einer erfolgreichen Wiederherstellung führt.

Best Practices für Ihre Sicherheit

Die Abwehr von Ransomware wie FIND erfordert einen mehrschichtigen und proaktiven Ansatz. Benutzer und Organisationen können das Infektionsrisiko durch die Umsetzung der folgenden grundlegenden Maßnahmen deutlich reduzieren:

1. Geräte- und Netzwerksicherheit stärken :

• Aktualisieren Sie Betriebssysteme, Browser und Software regelmäßig, um bekannte Schwachstellen zu beheben.
• Konfigurieren Sie Firewalls und Antivirentools, um verdächtige Aktivitäten zu erkennen und zu blockieren.
• Deaktivieren Sie den RDP-Zugriff, wenn er nicht benötigt wird, oder schränken Sie ihn durch sichere Passwörter, Multi-Faktor-Authentifizierung und IP-Whitelisting ein.

2. Üben Sie sichere Browsing- und E-Mail-Gewohnheiten :

• Vermeiden Sie das Öffnen unerwünschter Anhänge oder das Klicken auf Links von unbekannten Absendern.
• Laden Sie Software nur aus seriösen Quellen herunter und vermeiden Sie Torrents oder gecrackte Programme.
• Seien Sie vorsichtig, wenn Sie auf unerwartete „dringende“ oder „Sicherheitswarnungs“-Nachrichten reagieren.

3. Führen Sie zuverlässige Backups durch :

• Bewahren Sie Offline- oder Cloud-basierte Backups wichtiger Daten auf.

• Stellen Sie sicher, dass die Sicherungsgeräte nach der Verwendung getrennt werden, um eine Verschlüsselung während eines Angriffs zu verhindern.

4. Informieren und vorbereiten :

• Schulen Sie alle Benutzer darin, Phishing-Versuche und böswilliges Verhalten zu erkennen.
• Entwickeln Sie einen Notfallreaktionsplan mit klaren Schritten zur Isolierung infizierter Systeme und zur Wiederherstellung des Betriebs.

Abschließende Gedanken

FIND Ransomware stellt eine weitere Entwicklung in der hartnäckigen und zerstörerischen Dharma-Familie dar. Durch die Verschlüsselung wertvoller Daten, die Manipulation von Sicherheitseinstellungen und die Ausübung psychologischen Drucks durch Lösegeldforderungen stellt diese Malware eine ernsthafte Bedrohung für Einzelpersonen und Organisationen dar.

Die wirksamsten Abwehrmaßnahmen gegen derartige Ransomware-Bedrohungen sind nach wie vor die Aufrechterhaltung einer strengen Cybersicherheitshygiene, die Wachsamkeit gegenüber verdächtigen Online-Aktivitäten und die regelmäßige Durchführung von Datensicherungen.