SMB Iliyofichuliwa: Hatari Iliyofichwa Nyuma ya Mashambulizi ya Ransomware ya 'WantToCry'

SMB Iliyofichuliwa: Hatari Iliyofichwa Nyuma ya Mashambulizi ya Ransomware ya 'WantToCry'

kuanzishwa

Katika mazingira ya kidijitali ya leo, mashambulizi ya ransomware yanabadilika kwa kasi ya kutisha, yakitumia udhaifu uliopuuzwa ili kuingilia mifumo. Udhaifu mmoja kama huo ni huduma za Kizuizi cha Ujumbe wa Seva (SMB) zilizowekwa vibaya , ambazo huwapa washambuliaji ufikiaji usioidhinishwa wa data nyeti.

SMB, itifaki inayotumika sana kwa ajili ya kushiriki faili na rasilimali kwenye mitandao, mara nyingi huachwa wazi kutokana na sifa dhaifu, programu zilizopitwa na wakati, na usanidi duni wa usalama . Mipangilio hii mibaya huunda nafasi ya kuingia kwa wahalifu wa mtandao kwa:

• Pata ufikiaji usioidhinishwa kwa mifumo.
• Sogeza upande ndani ya mitandao.
• Tumia upakiaji hasidi ambayo husimba faili muhimu kwa njia fiche.

Shughuli za hivi karibuni za kundi la ransomware la WantToCry zinaonyesha jinsi washambuliaji wanavyoweza kutumia udhaifu wa SMB kwa urahisi kutekeleza kampeni za ransomware. Kadri vitisho vya mtandao vinavyozidi kuwa vya kisasa, kulinda usanidi wa SMB si jambo la lazima tena bali ni hitaji la kulinda data na miundombinu muhimu.

Nyayo za Awali za WantToCry

Vekta za Kuibuka na Mashambulizi:

Kundi la WantToCry ransomware , lililokuwa likifanya kazi tangu Desemba 2023 , limeimarisha shughuli zake mwaka wa 2024 , likilenga huduma nyingi za mtandao, ikiwa ni pamoja na:

• SMB (Kizuizi cha Ujumbe wa Seva)
• SSH (Shell Salama)
• FTP (Faili ya Transfer ya Faili)
• RPC (Simu ya Utaratibu wa Mbali)
• VNC (Uwekaji Mtandao wa Mtandao wa Kompyuta)

Kwa kutumia mashambulizi ya nguvu kali , programu hasidi hutumia hifadhidata ya manenosiri zaidi ya milioni moja ili kuathiri mifumo yenye sifa dhaifu au chaguo-msingi.

Mara tu ufikiaji unapopatikana, ransomware husimba kwa mbali diski za mtandao zilizo wazi hadharani na vifaa vya NAS (Uhifadhi Ulioambatanishwa na Mtandao) . Mshambuliaji huacha dokezo la fidia lenye maelezo kuhusu malipo.

Tishio Chaneli za Mawasiliano za Mwigizaji

Waendeshaji wa WantToCry hutumia majukwaa ya ujumbe yaliyosimbwa kwa njia fiche kuwasiliana na waathiriwa. Noti ya fidia kwa kawaida inajumuisha yafuatayo:

• Kitambulisho cha Telegramu: https://t.me/want_to_cry_team
• Tox ID: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

Tabia za WantToCry

WantToCry hufuata muundo wa kawaida wa ransomware , kurekebisha viendelezi vya faili na kuacha noti za ransom ili kudai malipo.

• Usimbaji wa Faili: Ransomware husimba faili kwa njia fiche na kuongeza kiendelezi ".nataka_kulia" kwa kila faili iliyoathiriwa.

• Dokezo la Fidia: Faili ya maandishi yenye jina “!want_to_cry.txt” inaundwa katika saraka zilizoathiriwa, ikitoa maagizo ya malipo ya fidia na maelezo ya mawasiliano.

Mtiririko wa Utekelezaji:

• Utukufu:

Mshambulizi hutekeleza awamu ya uchunguzi wa mtandao ili kutambua mifumo iliyo na milango ya SMB iliyofichuliwa (kawaida TCP port 445). Hatua hii inajumuisha kuchanganua huduma zinazoweza kufikiwa za SMB na kuchanganua majibu ya mfumo ili kubaini malengo yanayoweza kuwa na usanidi dhaifu wa usalama au udhaifu ambao haujabandikwa.

• Unyonyaji kupitia Brute Force:

Baada ya kutambua huduma zilizofunguliwa za SMB, mshambuliaji huanzisha mashambulizi ya nguvu dhidi ya huduma ya SMB, akitumia kamusi kubwa ya manenosiri yanayotumiwa sana. Utaratibu huu unalenga kupata stakabadhi halali na kupata ufikiaji usioidhinishwa kwa mfumo wa mwathirika.

• Kufikia na Kusanidi Hifadhi za Pamoja:

Baada ya kuthibitishwa, mshambulizi huorodhesha hisa za mtandao ili kutambua hifadhi nyeti au muhimu za pamoja. Kisha hifadhi hizi hupangwa na kusanidiwa kwa ufikiaji wa mbali kupitia mtandao, na kumruhusu mshambulizi kuanzisha ufuatiliaji unaoendelea na kujiandaa kwa ajili ya utekelezaji wa upakiaji.

• Utekelezaji wa Upakiaji (Usimbaji Fiche Bila Alama ya Karibu):

Ransomware hii inaonyesha shughuli yake ya usimbaji fiche kabisa juu ya hifadhi za kushiriki zinazoangalia nje kutoka chanzo cha nje bila kuacha vizalia vya programu kwenye mfumo wa ndani. Mchakato wa usimbaji fiche unafanywa moja kwa moja kwenye faili zilizohifadhiwa kwenye hifadhi za pamoja, ili kuepuka hitaji la kupakua au kuchakata data kwenye mashine ya mwathiriwa. Hii inahakikisha athari ya programu ya ukombozi inaenea kwa faili na saraka zote zinazoweza kufikiwa kupitia hifadhi ya pamoja huku ikipunguza uwezekano wa kugunduliwa au uchanganuzi wa kitaalamu kwenye mfumo wa ndani.

Muhtasari wa Tatizo

SMB ni itifaki inayotumika sana kwa kushiriki faili na printa kwenye mitandao ya Windows. Ingawa ni muhimu kwa ushirikiano, kuacha SMB wazi bila uthibitishaji ufaao kunaweza kuunda lango la washambuliaji.

Katika visa hivi, IP ya umma inayohusiana na mfumo ulioathiriwa ilikuwa imewezeshwa na kupatikana kupitia mtandao bila uthibitishaji . Hii iliruhusu watumiaji wasioidhinishwa kufikia hifadhi za pamoja kwa mbali. Zinapotumiwa vibaya, udhaifu kama huo unaweza kukwepa ulinzi wa mfumo, na kusababisha faili zilizosimbwa kwa njia fiche na uwezekano wa kupotea kwa data.

Kugundua

• Viashiria vya maelewano (IOC)
  • 194[.]36[.]179[.]18
  • 194[.]36[.]178[.]133
• Tayari tunayo Utambuzi (HEUR:Trojan.Win32.EncrSD) ndani mahali pa shughuli za usimbaji fiche wa hifadhi ya kushiriki.

Madhara ya Mipangilio Mibaya

Kuacha SMB kufikiwa na umma bila uthibitishaji kunaweza kuwa na madhara makubwa, ikiwa ni pamoja na:

• Ukiukaji wa Data: Ufikiaji usioidhinishwa wa faili nyeti.
• Mashambulizi ya Ransomware: Usimbaji fiche wa faili muhimu, na kuzifanya kutoweza kufikiwa bila malipo.
• Muda wa Utendaji Kazi: Muda ulioongezwa wa urejeshaji na kusababisha hasara za kifedha na sifa.
• Uso ulioongezeka wa Mashambulizi: Mipangilio rahisi inaweza kuvutia washambuliaji nyemelezi.

Mbinu Bora za Kupunguza Hatari

Ili kuepuka kuwa wahasiriwa wa mashambulizi kama hayo, mashirika yanapaswa kutekeleza hatua hizi za usalama:

1. Kingavirusi: Kuhakikisha Seqrite / Uponyaji wa Haraka inasasishwa mara kwa mara na ufafanuzi wa hivi karibuni.
2. Lemaza Kushiriki kwa SMB Pale Isipohitajika: Ikiwa SMB haitumiki kikamilifu, izima ili kupunguza mfiduo unaowezekana.
3. Inahitaji Uthibitishaji kwa Ufikiaji wa SMB: Usiwahi kuacha kushiriki kwa SMB kufikiwa na umma bila vitambulisho sahihi.
4. Zuia Ufikiaji wa Umma: Tumia ngome kuzuia ufikiaji wa nje kwa milango ya SMB (kawaida 445 na 139).
5. Mipangilio ya Ukaguzi wa Mara kwa Mara: Endelea kufuatilia na kukagua usanidi wa mtandao na kushiriki faili ili kuhakikisha kuwa zinalingana na mbinu bora za usalama.
6. Washa Mifumo ya Kina ya Ugunduzi: Tumia zana kama vile ufuatiliaji unaozingatia tabia ili kugundua shughuli zinazotiliwa shaka na hitilafu.

Mwandishi : Umar Khan A

Mwandishi Mwenza : Niraj Lazarus Makasare, Dixit Ashokbhai Panchal, Sumit Patil, Matin Tadvi