Kliknąłeś załącznik w mailu? Twoje pliki mogą być już zaszyfrowane
Eksperci z Forcepoint X-Labs ostrzegają przed masową kampanią phishingową, która rozprzestrzenia ransomware Global Group.
To nie jest zwykłe złośliwe oprogramowanie - potrafi szyfrować dane całkowicie offline, bez łączenia się z serwerami hakerów.
Atak rozpoczyna się od pozornie niewinnego maila od szefa lub znajomego. Załącznik wygląda jak dokument PDF, ale w rzeczywistości to spreparowany plik skrótu Windows (.ink) z podwójnym rozszerzeniem typu „Document.doc.lnk”. Po kliknięciu uruchamia się łańcuch poleceń PowerShell, który pobiera prawdziwy ładunek ransomware.
Global Group wyróżnia się unikalną cechą - generuje klucze szyfrujące lokalnie, używając algorytmu „ChaCha20-Poly1305”. To oznacza, że może działać nawet w całkowicie odizolowanych sieciach. Malware szyfruje pliki z rozszerzeniem „.Reco”, usuwa kopie zapasowe Windows i zostawia notatkę z żądaniem okupu prowadzącą do strony w sieci Tor.
Kampania trwa od 2024 roku i wykorzystuje botnet Phorpiex, aktywny od 2010 roku. Eksperci ostrzegają, że tradycyjne metody monitorowania sieci są bezsilne wobec tego zagrożenia.
