रैंसमवेयर एक बहुत ही खराब मैलवेयर है क्योंकि हमलावर पीड़ित से उसके महत्वपूर्ण डेटा को बंधक बने रहने से मुक्त करने के लिए भुगतान करने की मांग करते हैं। रैंसमवेयर चुपके से पीड़ित के डिवाइस को संक्रमित करता है, महत्वपूर्ण डेटा (बैकअप फ़ाइलों सहित) को एन्क्रिप्ट करता है, फिर निर्देश छोड़ता है कि कितनी फिरौती का भुगतान किया जाना चाहिए और कैसे किया जाना चाहिए। इन सभी परेशानियों के बाद, पीड़ित को इस बात की कोई गारंटी नहीं है कि हमलावर वास्तव में फ़ाइलों को अनलॉक करने के लिए डिक्रिप्शन कुंजी जारी करेगा। और अगर वे कभी करते हैं, तो कुछ फ़ाइलें दूषित हो सकती हैं, जिससे वे अंत में बेकार हो जाती हैं।
वर्षों से, रैंसमवेयर का उपयोग लोकप्रियता में बढ़ा है क्योंकि यह हैकर्स के लिए पैसे कमाने का सबसे सीधा तरीका है। उन्हें बस मैलवेयर छोड़ना होता है, फिर उपयोगकर्ता के बिटकॉइन के माध्यम से पैसे भेजने की प्रतीक्षा करनी होती है। Emsisoft के डेटा के अनुसार, 2019 में रैंसमवेयर हमलों की संख्या पिछले वर्ष की तुलना में 41% बढ़ी, जिससे लगभग 1,000 अमेरिकी संगठन प्रभावित हुए। Cybersecurity Ventures ने यहां तक भविष्यवाणी की कि रैंसमवेयर हर 11 सेकंड में व्यवसायों पर हमला करेगा।
इस साल की शुरुआत में, Ragnar Locker, मैलवेयर का एक नया स्ट्रेन, Energias de Portugal (EDP) पर हमला किया, जो लिस्बन में स्थित एक पुर्तगाली इलेक्ट्रिक यूटिलिटी कंपनी है। हमलावरों ने फिरौती के रूप में 1,580 बिटकॉइन की मांग की, जो लगभग $11 मिलियन के बराबर है।
Ragnar Locker रैंसमवेयर क्या है?
Ragnar Locker रैंसमवेयर प्रकार का मैलवेयर है जिसे न केवल डेटा एन्क्रिप्ट करने के लिए बनाया गया है, बल्कि इंस्टॉल किए गए एप्लिकेशन, जैसे ConnectWise और Kaseya, को मारने के लिए भी, जो आमतौर पर प्रबंधित सेवा प्रदाताओं और कई विंडोज सेवाओं द्वारा उपयोग किए जाते हैं। Ragnar Locker एन्क्रिप्टेड फ़ाइलों का नाम बदलकर एक अद्वितीय एक्सटेंशन जोड़ता है जो शब्द ragnar से शुरू होता है और उसके बाद रैंडम संख्याओं और वर्णों की एक स्ट्रिंग होती है। उदाहरण के लिए, A.jpg नाम वाली फ़ाइल का नाम बदलकर A.jpg.ragnar_0DE48AAB कर दिया जाएगा।
फ़ाइलों को एन्क्रिप्ट करने के बाद, यह फिरौती संदेश एक टेक्स्ट फ़ाइल का उपयोग करके बनाता है, उसी नाम प्रारूप के साथ जैसा ऊपर उदाहरण में है। फिरौती संदेश का नाम RGNR_0DE48AAB.txt हो सकता है।
यह रैंसमवेयर केवल विंडोज कंप्यूटर पर चलता है, लेकिन यह अभी तक निश्चित नहीं है कि इस मैलवेयर के लेखकों ने Ragnar Locker का मैक संस्करण भी डिज़ाइन किया है। यह आमतौर पर प्रबंधित सेवा प्रदाताओं द्वारा आमतौर पर उपयोग की जाने वाली प्रक्रियाओं और एप्लिकेशन को लक्षित करता है ताकि उनके हमले को पता लगाने और रोकने से बचाया जा सके। Ragnar Locker केवल अंग्रेजी बोलने वाले उपयोगकर्ताओं को लक्षित करता है।
Ragnar Locker रैंसमवेयर का पहली बार दिसंबर 2019 के अंत में पता चला था, जब इसका उपयोग समझौता किए गए नेटवर्क के खिलाफ हमलों के हिस्से के रूप में किया गया था। सुरक्षा विशेषज्ञों के अनुसार, यूरोपीय ऊर्जा दिग्गज पर Ragnar Locker का हमला एक अच्छी तरह से सोचा गया और पूरी तरह से नियोजित हमला था।
यहाँ Ragnar Locker फिरौती संदेश का एक उदाहरण है:
हैलो * !
********************
यदि आप इस संदेश को पढ़ रहे हैं, तो आपका नेटवर्क भेद दिया गया था और आपकी सभी फ़ाइलें और डेटा RAGNAR_LOCKER द्वारा एन्क्रिप्ट किया गया है!
********************
*********आपके सिस्टम के साथ क्या होता है?************
आपका नेटवर्क भेद दिया गया था, आपकी सभी फ़ाइलें और बैकअप लॉक कर दिए गए थे! तो अब आपको अपनी फ़ाइलें वापस पाने में कोई मदद नहीं कर सकता, सिवाय हमारे।
आप इसे गूगल कर सकते हैं, हमारे गुप्त कुंजी के बिना डेटा को डिक्रिप्ट करने का कोई मौका नहीं है।
लेकिन चिंता न करें! आपकी फ़ाइलें क्षतिग्रस्त या खोई नहीं हैं, वे सिर्फ संशोधित हैं। आप भुगतान करते ही उन्हें वापस पा सकते हैं।
हम केवल पैसे की तलाश में हैं, इसलिए आपकी जानकारी चुराने या हटाने में हमारी कोई रुचि नहीं है, यह सिर्फ एक व्यवसाय है $-)
हालांकि आप अपने डेटा को खुद नुकसान पहुंचा सकते हैं यदि आप हमारे विशिष्ट एन्क्रिप्शन कुंजी के बिना किसी अन्य सॉफ़्टवेयर द्वारा डिक्रिप्ट करने की कोशिश करते हैं!!!
साथ ही, आपकी सभी संवेदनशील और निजी जानकारी एकत्र की गई थी और यदि आप भुगतान नहीं करने का निर्णय लेते हैं,
हम इसे सार्वजनिक दृश्य के लिए अपलोड करेंगे!
****
***********अपनी फ़ाइलें वापस कैसे पाएं?******
अपनी सभी फ़ाइलों और डेटा को डिक्रिप्ट करने के लिए आपको एन्क्रिप्शन कुंजी के लिए भुगतान करना होगा:
भुगतान के लिए BTC वॉलेट: *
भुगतान की राशि (बिटकॉइन में): 25
****
***********भुगतान के लिए आपके पास कितना समय है?**********
* आपको एन्क्रिप्शन देखने के 2 दिनों के भीतर हमसे संपर्क करना चाहिए ताकि बेहतर कीमत मिल सके।
* यदि 14 दिनों के बाद कोई संपर्क नहीं किया जाता है तो कीमत 100% बढ़ जाएगी (दोगुनी कीमत)।
* यदि कोई संपर्क नहीं किया जाता है या कोई सौदा नहीं होता है तो 21 दिन में कुंजी पूरी तरह से मिटा दी जाएगी।
फाइल सर्वर से चुराई गई कुछ संवेदनशील जानकारी सार्वजनिक या पुनर्विक्रेता को अपलोड की जाएगी।
****
***********यदि फ़ाइलों को पुनर्स्थापित नहीं किया जा सकता है?******
यह साबित करने के लिए कि हम वास्तव में आपके डेटा को डिक्रिप्ट कर सकते हैं, हम आपकी लॉक की गई फ़ाइलों में से एक को डिक्रिप्ट करेंगे!
बस इसे हमें भेजें और आपको यह मुफ्त में वापस मिल जाएगा।
डिक्रिप्टर की कीमत नेटवर्क आकार, कर्मचारियों की संख्या, वार्षिक राजस्व पर आधारित है।
भुगतान किए जाने वाले BTC की राशि के लिए हमसे संपर्क करने के लिए स्वतंत्र महसूस करें।
****
! यदि आप नहीं जानते कि बिटकॉइन कैसे प्राप्त करें, तो हम आपको पैसे का आदान-प्रदान करने की सलाह देंगे।
!!!!!!!!!!!!!
! यहां हमारे साथ संपर्क करने का सरल मैनुअल है!
!!!!!!!!!!!!!
1) TOX मैसेंजर की आधिकारिक वेबसाइट पर जाएं (hxxps://tox.chat/download.html)
2) अपने PC पर qTOX डाउनलोड और इंस्टॉल करें, प्लेटफॉर्म चुनें (Windows, OS X, Linux, आदि)
3) मैसेंजर खोलें, "New Profile" पर क्लिक करें और प्रोफाइल बनाएं।
4) "Add friends" बटन पर क्लिक करें और हमारा संपर्क * खोजें
5) पहचान के लिए, हमारे समर्थन को —RAGNAR SECRET— से डेटा भेजें
महत्वपूर्ण! यदि किसी कारण से आप qTOX में हमसे संपर्क नहीं कर सकते, तो यहां हमारा रिजर्व मेलबॉक्स (*) है —RAGNAR SECRET— से डेटा के साथ एक संदेश भेजें
चेतावनी!
-किसी थर्ड-पार्टी सॉफ़्टवेयर से फ़ाइलों को डिक्रिप्ट करने की कोशिश न करें (यह स्थायी रूप से क्षतिग्रस्त हो जाएगा)
-अपने OS को पुनर्स्थापित न करें, इससे पूर्ण डेटा हानि हो सकती है और फ़ाइलों को डिक्रिप्ट नहीं किया जा सकता। कभी नहीं!
-डिक्रिप्शन के लिए आपकी गुप्त कुंजी हमारे सर्वर पर है, लेकिन यह हमेशा के लिए संग्रहीत नहीं होगी। समय बर्बाद न करें!
********************
—RAGNAR SECRET—
*
—RAGNAR SECRET—
********************
Ragnar Locker क्या करता है?
Ragnar Locker आमतौर पर MSP टूल्स जैसे ConnectWise के माध्यम से वितरित किया जाता है, जिसमें साइबर अपराधी एक अत्यधिक लक्षित रैंसमवेयर निष्पादन योग्य फ़ाइल छोड़ते हैं। यह प्रसार तकनीक पिछले अत्यधिक दुर्भावनापूर्ण रैंसमवेयर, जैसे Sodinokibi द्वारा उपयोग की गई है। जब इस प्रकार का हमला होता है, तो रैंसमवेयर के लेखक असुरक्षित या खराब सुरक्षित RDP कनेक्शन के माध्यम से संगठनों या सुविधाओं में घुसपैठ करते हैं। यह फिर सभी सुलभ एंडपॉइंट्स पर PowerShell स्क्रिप्ट भेजने के लिए टूल का उपयोग करता है। स्क्रिप्ट तब Pastebin के माध्यम से एक पेलोड डाउनलोड करती है जिसे रैंसमवेयर को निष्पादित करने और एंडपॉइंट्स को एन्क्रिप्ट करने के लिए डिज़ाइन किया गया है। कुछ उदाहरणों में, पेलोड एक निष्पादन योग्य फ़ाइल के रूप में आता है जिसे फ़ाइल-आधारित हमले के हिस्से के रूप में लॉन्च किया जाता है। ऐसे मामले भी हैं जब अतिरिक्त स्क्रिप्ट पूरी तरह से फाइललेस हमले के हिस्से के रूप में डाउनलोड की जाती हैं।
Ragnar Locker विशेष रूप से प्रबंधित सेवा प्रदाताओं द्वारा आमतौर पर चलाए जाने वाले सॉफ़्टवेयर को लक्षित करता है, जिनमें निम्नलिखित स्ट्रिंग्स शामिल हैं:
- vss
- sql
- memtas
- mepocs
- sophos
- veeam
- backup
- pulseway
- logme
- logmein
- connectwise
- splashtop
- kaseya
रैंसमवेयर पहले लक्ष्य की फ़ाइलों को चुराता है और उन्हें अपने सर्वर पर अपलोड करता है। Ragnar Locker के बारे में अनोखी बात यह है कि वे केवल फ़ाइलों को एन्क्रिप्ट नहीं करते हैं बल्कि पीड़ित को धमकी भी देते हैं कि यदि फिरौती का भुगतान नहीं किया गया तो डेटा सार्वजनिक रूप से जारी कर दिया जाएगा, जैसा कि EDP के मामले में हुआ। EDP के साथ, हमलावरों ने कथित 10TB चोरी किए गए डेटा को जारी करने की धमकी दी, जो इतिहास के सबसे बड़े डेटा लीक में से एक हो सकता है। हमलावरों ने दावा किया कि सभी भागीदारों, ग्राहकों, और प्रतिस्पर्धियों को उल्लंघन के बारे में सूचित किया जाएगा और उनका लीक डेटा सार्वजनिक उपभोग के लिए समाचार और मीडिया स्रोतों को भेजा जाएगा। हालांकि EDP के प्रवक्ता ने घोषणा की है कि हमले का यूटिलिटी की बिजली सेवा और बुनियादी ढांचे पर कोई प्रभाव नहीं पड़ा, लेकिन आसन्न डेटा उल्लंघन कुछ ऐसा है जिसके बारे में वे चिंतित हैं।
सेवाओं को अक्षम करना और प्रक्रियाओं को समाप्त करना मैलवेयर द्वारा सुरक्षा कार्यक्रमों, बैकअप सिस्टम, डेटाबेस, और मेल सर्वर को अक्षम करने के लिए उपयोग की जाने वाली सामान्य रणनीति हैं। एक बार इन कार्यक्रमों को समाप्त कर दिए जाने के बाद, उनके डेटा को तब एन्क्रिप्ट किया जा सकता है।
जब पहली बार लॉन्च किया जाता है, तो Ragnar Locker कॉन्फ़िगर की गई विंडोज भाषा प्राथमिकताओं को स्कैन करेगा। यदि भाषा प्राथमिकता अंग्रेजी है, तो मैलवेयर अगले चरण के साथ जारी रहेगा। लेकिन अगर Ragnar Locker ने पाया कि भाषा पूर्व USSR देशों में से एक के रूप में सेट है, तो मैलवेयर प्रक्रिया को समाप्त कर देगा और कंप्यूटर को एन्क्रिप्ट नहीं करेगा।
Ragnar Locker रैंसमवेयर के निष्पादित होने से पहले MSP के सुरक्षा उपकरणों से समझौता करता है। एक बार अंदर जाने के बाद, मैलवेयर एन्क्रिप्शन प्रक्रिया शुरू करता है। यह महत्वपूर्ण फ़ाइलों को एन्क्रिप्ट करने के लिए एक एम्बेडेड RSA-2048 कुंजी का उपयोग करता है।
Ragnar Locker सभी फ़ाइलों को एन्क्रिप्ट नहीं करता है। यह कुछ फ़ोल्डर्स, फ़ाइल नामों, और एक्सटेंशन को छोड़ देगा, जैसे:
- kernel32.dll
- Windows
- Windows.old
- Tor browser
- Internet Explorer
- Opera
- Opera Software
- Mozilla
- Mozilla Firefox
- $Recycle.Bin
- ProgramData
- All Users
- autorun.inf
- boot.ini
- bootfont.bin
- bootsect.bak
- bootmgr
- bootmgr.efi
- bootmgfw.efi
- desktop.ini
- iconcache.db
- ntldr
- ntuser.dat
- ntuser.dat.log
- ntuser.ini
- thumbs.db
- .sys
- .dll
- .lnk
- .msi
- .drv
- .exe
एन्क्रिप्टेड फ़ाइलों में नया फ़ाइल एक्सटेंशन जोड़ने के अलावा, Ragnar Locker हर एन्क्रिप्टेड फ़ाइल के अंत में 'RAGNAR' फ़ाइल मार्कर भी जोड़ता है।
Ragnar Locker फिर '.RGNR_[extension].txt' नाम का एक फिरौती संदेश छोड़ता है जिसमें फिरौती की रकम, बिटकॉइन भुगतान पता, हमलावरों के साथ संवाद करने के लिए उपयोग की जाने वाली TOX चैट ID, और बैकअप ईमेल पता यदि TOX के साथ समस्याएं हैं, पर विवरण होते हैं। अन्य रैंसमवेयर के विपरीत, Ragnar Locker में फिरौती की एक निश्चित राशि नहीं होती है। यह लक्ष्य के अनुसार भिन्न होती है और व्यक्तिगत रूप से गणना की जाती है। कुछ रिपोर्टों में, फिरौती की रकम $200,000 से $600,000 के बीच भिन्न हो सकती है। EDP के मामले में, मांगी गई फिरौती 1,580 बिटकॉइन या $11 मिलियन थी।
Ragnar Locker को कैसे हटाएं
यदि आपका कंप्यूटर Ragnar Locker से संक्रमित होने के लिए बदकिस्मत था, तो पहली चीज़ जो आपको करने की आवश्यकता है वह यह जांचना है कि क्या आपकी सभी फ़ाइलें एन्क्रिप्ट की गई हैं। आपको यह भी जांचना होगा कि क्या आपकी बैकअप फ़ाइलें भी एन्क्रिप्ट की गई हैं। इस तरह के हमले आपके महत्वपूर्ण डेटा का बैकअप रखने के महत्व को उजागर करते हैं क्योंकि कम से कम, आपको अपनी फ़ाइलों तक पहुंच खोने की चिंता नहीं करनी पड़ेगी।
फिरौती का भुगतान करने का प्रयास न करें क्योंकि यह बेकार होगा। इस बात की कोई गारंटी नहीं है कि हमलावर आपको सही डिक्रिप्शन कुंजी भेजेगा और आपकी फ़ाइलें कभी भी जनता के सामने लीक नहीं होंगी। वास्तव में, यह बहुत संभव है कि हमलावर आपसे पैसे वसूलते रहेंगे क्योंकि वे जानते हैं कि आप भुगतान करने के इच्छुक हैं।
आप जो कर सकते हैं वह है पहले अपने कंप्यूटर से रैंसमवेयर को हटाने की कोशिश करने से पहले इसे डिक्रिप्ट करने का प्रयास करें। आप अपने एंटीवायरस या एंटी-मैलवेयर ऐप का उपयोग करके अपने कंप्यूटर को मैलवेयर के लिए स्कैन कर सकते हैं और सभी खोजे गए खतरों को हटाने के निर्देशों का पालन कर सकते हैं। अगला, किसी भी संदिग्ध ऐप या एक्सटेंशन को अनइंस्टॉल करें जो मैलवेयर से संबंधित हो सकते हैं।
अंत में, Ragnar Locker से मेल खाने वाले डिक्रिप्शन टूल की तलाश करें। कई डिक्रिप्टर्स हैं जिन्हें रैंसमवेयर द्वारा एन्क्रिप्ट की गई फ़ाइलों के लिए डिज़ाइन किया गया है, लेकिन आपको पहले अपने सुरक्षा सॉफ़्टवेयर निर्माता से जांच करनी चाहिए कि क्या उनके पास कोई उपलब्ध है। उदाहरण के लिए, Avast और Kaspersky के पास अपने स्वयं के डिक्रिप्शन टूल हैं जिनका उपयोग उपयोगकर्ता कर सकते हैं। यहाँ अन्य डिक्रिप्शन टूल की एक सूची है जिसे आप आज़मा सकते हैं।
Ragnar Locker से खुद को कैसे बचाएं
रैंसमवेयर काफी परेशानी भरा हो सकता है, खासकर यदि कोई मौजूदा डिक्रिप्शन टूल मैलवेयर द्वारा किए गए एन्क्रिप्शन को पूर्ववत करने में सक्षम नहीं है। अपने डिवाइस को रैंसमवेयर, विशेष रूप से Ragnar Locker से बचाने के लिए, यहां कुछ सुझाव दिए गए हैं जिन्हें आपको ध्यान में रखने की आवश्यकता है:
- एक मजबूत पासवर्ड नीति अपनाएं, यदि संभव हो तो डबल-फैक्टर या मल्टी-फैक्टर ऑथेंटिकेशन (MFA) का उपयोग करें। यदि यह संभव नहीं है, तो रैंडम, अद्वितीय पासवर्ड जनरेट करें जिनका अनुमान लगाना मुश्किल हो।
- अपनी डेस्क छोड़ते समय अपने कंप्यूटर को लॉक करना सुनिश्चित करें। चाहे आप दोपहर के भोजन के लिए बाहर जा रहे हों, एक छोटा ब्रेक ले रहे हों, या सिर्फ रेस्टरूम जा रहे हों, अनधिकृत पहुंच को रोकने के लिए अपने कंप्यूटर को लॉक करें।
- एक डेटा बैकअप और रिकवरी योजना बनाएं, विशेष रूप से आपके कंप्यूटर पर महत्वपूर्ण जानकारी के लिए। सबसे महत्वपूर्ण जानकारी को नेटवर्क के बाहर या यदि संभव हो तो बाहरी डिवाइस पर संग्रहीत करें। इन बैकअप का नियमित रूप से परीक्षण करें ताकि यह सुनिश्चित हो सके कि वास्तविक संकट की स्थिति में वे सही ढंग से काम करते हैं।
- सुनिश्चित करें कि आपके सिस्टम अपडेट हैं और नवीनतम सुरक्षा पैच के साथ इंस्टॉल हैं। रैंसमवेयर आमतौर पर आपके सिस्टम में कमजोरियों का शोषण करता है, इसलिए सुनिश्चित करें कि आपके डिवाइस की सुरक्षा वायुरोधी है।
- फ़िशिंग के सामान्य वैक्टर से सावधान रहें, जो रैंसमवेयर का सबसे आम वितरण तरीका है। रैंडम लिंक पर क्लिक न करें और उन्हें अपने कंप्यूटर पर डाउनलोड करने से पहले हमेशा ईमेल अटैचमेंट को स्कैन करें।
- अपने डिवाइस पर एक मजबूत सुरक्षा सॉफ़्टवेयर इंस्टॉल करें और डेटाबेस को नवीनतम खतरों के साथ अपडेट रखें।
