สต레นแรนซัมแวร์ใหม่ถูกค้นพบโดยเจ้าหน้าที่ความปลอดภัยของ Forcepoint, Texas ที่กำลังมุ่งเป้าหมายองค์กรสาธารณสุข Philadelphia ransomware มาจากครอบครัว Stampado ชุดแรนซัมแวร์นี้ขายออนไลน์ราคาไม่กี่ร้อยดอลลาร์ และผู้โจมตีขอค่าไถ่เป็น Bitcoin
นักวิจัยพบว่า Philadelphia ransomware ถูกส่งผ่าน spear-phishing emails อีเมลเหล่านี้ส่งไปยังโรงพยาบาลพร้อมข้อความที่มี shortened URL นำไปสู่พื้นที่จัดเก็บส่วนตัวที่ให้ไฟล์ DOCX ที่เป็นอาวุธพร้อมโลโก้ขององค์กรสาธารณสุขที่เป็นเป้าหมาย พนักงานหลงรักและคลิกลิงก์เหล่านี้ ทำให้แรนซัมแวร์เจาะเข้าระบบ
เมื่อแรนซัมแวร์จดจำนำในระบบ มันติดต่อ C&C server และส่งข้อมูลเครื่องเหยื่อทั้งหมด เช่น ระบบปฏิบัติการ ประเทศ ภาษาระบบ และชื่อผู้ใช้เครื่อง C&C server จึงสร้าง victim ID, ราคาค่าไถ่ และ Bitcoin wallet ID ส่งกลับไปยังเครื่องเป้าหมาย
เทคนิคเข้ารหัสที่ Philadelphia Ransomware ใช้คือ AES-256 ซึ่งขอค่าไถ่ 0.3 Bitcoin เมื่อล็อกไฟล์เสร็จ ความสนใจในอุตสาหกรรมสุขภาพสังเกตได้จาก directory path ที่แสดง 'hospital/spam' เป็นสตริงใน JavaScript ที่เข้ารหัส รวมถึง 'hospital/spa' ในเส้นทาง C&C server
Philadelphia คืออะไร:
ทุกคนรู้ว่าเป็นเมืองใหญ่ที่สุดใน Pennsylvania และบลาๆ… แต่ในทางอาชญากรรมไซเบอร์ มันคือเวอร์ชันอัปเดตของไวรัสประเภทแรนซัมแวร์ Stampado ที่ดังฉาว ในอีเมลฟิชชิ่ง คุณอาจพบพวกมันกับใบแจ้งหนี้ค้างชำระปลอม อีเมลเหล่านี้มักมีลิงก์ไปยังเว็บไซต์ของ Philadelphia ซึ่งพร้อมกับ Java applications เพื่อติดตั้งแรนซัมแวร์ในระบบของคุณ
Philadelphia เริ่มเข้ารหัสไฟล์ด้วยนามสกุลต่างๆ เช่น .doc, .bmp, .avi, .7z, .pdf เป็นต้น หลังเจาะเข้าระบบสำเร็จ คุณสามารถระบุไฟล์ที่ถูกเข้ารหัสโดย Philadelphia ได้จากนามสกุล '.locked' ตัวอย่าง ไฟล์ชื่อ 'abc.bmp' จะถูกเข้ารหัสและเปลี่ยนชื่อเป็น 'KD24KIH83483BJAKDF8JDR7.locked' เมื่อพยายามเปิดไฟล์ที่เข้ารหัส แรนซัมแวร์จะเปิดหน้าต่างใหม่พร้อมข้อความขอค่าไถ่
ข้อความค่าไถ่แจ้งว่าไฟล์ถูกเข้ารหัส และคุณต้องจ่ายเพื่อกู้คืน Philadelphia ใช้อัลกอริทึมเข้ารหัสแบบ asymmetric สร้าง public key (เข้ารหัส) และ private key (ถอดรหัส) ขณะเข้ารหัสและล็อกไฟล์ การถอดรหัสไฟล์ล็อกโดยไม่มี private key เหมือนต้มน้ำทะเล เพราะอยู่บนเซิร์ฟเวอร์ระยะไกลที่อาชญากรไซเบอร์เฝ้าระวัง
หน้าต่างมีตัวจับเวลาสนใจ 2 ตัว: Deadline และ Russian Roulette ในขณะที่ Deadline timer แสดงเวลาที่เหลือในการรับ private key, Russian Roulette แสดงเวลาในการลบไฟล์ถัดไป (บังคับให้จ่ายโดยไม่เสียเวลาหาความช่วยเหลือ) นี่คือภัยคุกคามจริง แต่เป็นสิ่งเดียวที่ไม่ได้ปลอม
คุณสามารถหลีกเลี่ยงสถานการณ์นี้ได้ไหม?
ได้ คุณสามารถหลบพ้นจากการถูก Philadelphia ransomware; อย่างไรก็ตาม คุณต้องเก็บคอมพิวเตอร์ให้พร้อมกับ best anti-ransomware และ antimalware โปรดทราบว่าแรนซัมแวร์บางอย่างอาจหลบพ้น best anti-ransomware ดังนั้น แนวทางปฏิบัติที่ดีที่สุดคือกลายเป็นผู้ใช้ที่警醒 และไม่คลิกสิ่งที่ผิดปกติและน่าสงสัย
พิจารณาทุกอย่าง Philadelphia Ransomware สามารถถือได้ว่าเป็นการติดเชื้อแบบเจาะลึก แม้ตอนนี้มุ่งเป้าหมายองค์กรสาธารณสุข แตคุณก็อาจเป็นเหยื่อได้ เพราะ source code ของไวรัสนี้ขายในราคา $400 บน dark web อาชญากรไซเบอร์ที่มีความปรารถนาอาจได้โค้ดและเริ่มล่าล่าสาเก็บ คอมพิวเตอร์ของคุณควรมีภูมิคุ้มกันและคุ้มครองโดย antimalware และ anti-ransomware
