Forcepoint, Texas के सुरक्षा अधिकारियों द्वारा एक नई रैनसमवेयर स्ट्रेन की खोज की गई जो स्वास्थ्य सेवा संगठनों को लक्षित कर रही है। Philadelphia रैनसमवेयर Stampado परिवार से है। यह रैनसमवेयर किट ऑनलाइन कुछ सौ डॉलर में बेची जाती है और हमलावर बिटकॉइन के रूप में फिरौती की मांग करते हैं।
शोधकर्ताओं ने पाया कि Philadelphia रैनसमवेयर स्पीयर-फिशिंग ईमेल के माध्यम से पहुंचाया जाता है। ऐसे ईमेल अस्पतालों को एक छोटे URL के संदेश बॉडी के साथ भेजे जाते हैं जो लक्षित स्वास्थ्य सेवा संगठन के लोगो के साथ एक हथियारयुक्त DOCX फाइल परोसने वाले व्यक्तिगत स्टोरेज स्पेस की ओर निर्देशित करता है। कर्मचारी फंस जाते हैं और इन लिंक पर क्लिक कर देते हैं जो रैनसमवेयर को सिस्टम में घुसपैठ करा देते हैं।
एक बार रैनसमवेयर सिस्टम में स्थापित हो जाने पर, यह C&C सर्वर से संपर्क करता है और पीड़ित कंप्यूटर के बारे में सभी जानकारी जैसे ऑपरेटिंग सिस्टम, देश, सिस्टम भाषा और मशीन का उपयोगकर्ता नाम स्थानांतरित करता है। C&C सर्वर फिर एक विक्टिम ID, फिरौती की कीमत और बिटकॉइन वॉलेट ID उत्पन्न करता है और इसे लक्षित मशीन पर भेजता है।
Philadelphia Ransomware द्वारा उपयोग की जाने वाली एन्क्रिप्शन तकनीक AES-256 है, जो एक बार आपकी फाइलों को लॉक करने के बाद 0.3 बिटकॉइन की फिरौती मांगती है। इसका स्वास्थ्य उद्योग के प्रति लगाव इसके एन्क्रिप्टेड जावास्क्रिप्ट में 'hospital/spam' स्ट्रिंग के रूप में डायरेक्टरी पथ और इसके C&C सर्वर मार्ग में 'hospital/spa' द्वारा देखा जा सकता है।
Philadelphia क्या है:
ठीक है, हर कोई जानता है कि यह पेंसिल्वेनिया का सबसे बड़ा शहर है और ब्ला ब्ला ब्ला… लेकिन जहां तक साइबर अपराध का संबंध है, यह कुख्यात Stampado रैनसमवेयर प्रकार वायरस का एक अपडेटेड संस्करण भी है। फिशिंग ईमेल में, आप उन्हें नकली ओवरड्यू भुगतान नोटिस के साथ देख सकते हैं। ये मेल ज्यादातर Philadelphia की वेबसाइटों के लिंक शामिल करते हैं, जो आपके सिस्टम में रैनसमवेयर इंस्टॉल करने के लिए जावा एप्लिकेशन के साथ तैयार रखे जाते हैं।
Philadelphia सिस्टम में सफल घुसपैठ के बाद .doc, .bmp, .avi, .7z, .pdf आदि जैसे विभिन्न एक्सटेंशन वाली फाइलों को एन्क्रिप्ट करना शुरू कर देता है। आप Philadelphia द्वारा लॉक की गई एन्क्रिप्टेड फाइल को इसके एक्सटेंशन '.locked' से पहचान सकते हैं। उदाहरण के लिए, आपके सिस्टम में 'abc.bmp' नाम की एक फाइल एन्क्रिप्ट होकर 'KD24KIH83483BJAKDF8JDR7.locked' के रूप में नाम बदल दी जाएगी। एक बार जब आप एन्क्रिप्टेड फाइल खोलने की कोशिश करते हैं, तो रैनसमवेयर फिरौती की मांग वाले संदेश के साथ एक नई विंडो खोलता है।
फिरौती संदेश आपको सूचित करता है कि फाइलों को एन्क्रिप्ट कर दिया गया है और आपको उन्हें बहाल करने के लिए भुगतान करना होगा। Philadelphia एक असममित एन्क्रिप्शन एल्गोरिदम का उपयोग करता है जो फाइलों को एन्क्रिप्ट और लॉक करते समय एक पब्लिक (एन्क्रिप्शन) और प्राइवेट (डिक्रिप्शन) कुंजी बनाता है। प्राइवेट कुंजी के बिना लॉक की गई फाइलों को डिक्रिप्ट करना समुद्र उबालने जैसा है क्योंकि वे साइबर अपराधियों द्वारा संरक्षित दूरस्थ सर्वर पर स्थित हैं।
विंडो में दो दिलचस्प टाइमर हैं: डेडलाइन और रशियन रूलेट। जहां डेडलाइन टाइमर आपकी प्राइवेट कुंजी प्राप्त करने में शेष समय दर्शाता है, वहीं रशियन रूलेट अगली फाइल को हटाने का समय दिखाता है (आपको मदद खोजने में समय बर्बाद किए बिना खरीदने के लिए मजबूर करता है)। यह वास्तव में एक खतरा है लेकिन इसके बारे में यही एकमात्र चीज नकली नहीं है।
क्या आप इस स्थिति से बच सकते हैं?
हां। आप Philadelphia रैनसमवेयर; से बच सकते हैं, हालांकि, आपको अपने कंप्यूटर को सर्वश्रेष्ठ एंटी-रैनसमवेयर और एंटीमैलवेयर से लैस रखना चाहिए। ध्यान दें कि कुछ रैनसमवेयर सर्वश्रेष्ठ एंटी-रैनसमवेयर को भी दरकिनार कर सकते हैं, इसलिए सबसे अच्छा अभ्यास एक सतर्क उपयोगकर्ता बनना है और असामान्य और संदिग्ध किसी भी चीज़ पर क्लिक न करना।
सब कुछ ध्यान में रखते हुए, Philadelphia Ransomware को एक घुसपैठ प्रकार के संक्रमण के रूप में माना जा सकता है। हालांकि इसने अभी केवल स्वास्थ्य सेवा संगठनों को लक्षित किया है लेकिन आप भी शिकार हो सकते हैं क्योंकि इस वायरस का सोर्स कोड डार्क वेब पर $400 में बिक्री के लिए खुला है। कोई भी इच्छुक साइबर-अपराधी कोड प्राप्त कर सकता है और शिकार की तलाश शुरू कर सकता है। अपने कंप्यूटर को एंटीमैलवेयर और एंटी-रैनसमवेयर द्वारा प्रतिरक्षित और संरक्षित रखना मददगार होना चाहिए।
