Crypto locker זו תוכנה זדונית המצפינה קבצים חשובים, ודורשת תשלום כופר מהמשתמש עבור שחרור הקבצים מהנעילה (מפתח ההצפנה).
תוכנה זדונית זו מצפינה מסמכים, תמונות וקבצי אופיס במחשב, וברשתות היא מקודדת אותם בתיקיות משותפות. לאחר מכן נשלחת הודעה למשתמש או למשתמשים עם דרישה לתשלום (סכום שנע בין מאות לאלפי דולרים) בתמורה למפתח ההצפנה שיאפשר את שחזור הקבצים.
לא ניתן לפרוץ את הקידוד של הקבצים באמצעים סטנדרטיים, כך שמרגע הצפנת הקבצים אין דרך לשחזרם!
האיום מגיע כקובץ מצורף המכיל את התוכנה הזדונית, בדרך כלל באמצעות מיילים, אתרים נגועים, או דרך תוכנות שיתוף קבצים, בהן הוא מצורף לפריצות עבור תוכנות כמו Adobe Photoshop או MS Office.
הודעת הכופר של Crypto locker – ההודעה שמתריעה על כך שהוצפנו הקבצים במחשב/רשת נראית כך:
Crypto locker נפוצה ברחבי העולם כשנה וחצי, ובסוף הקיץ שעבר החלה לתקוף משתמשים ביתיים ועסקים קטנים עד בינוניים בישראל. כיום מדובר באחת ההתקפות הנפוצות בישראל.
כך תתגוננו מפני Crypto locker
- יש לוודא התקנה של אנטי וירוס מעודכן וחוקי במחשב או בכל התחנות והשרתים ברשת. חשוב לשים לב גם למחשבים של עובדים שמתחברים ב-VPN או מתחברים ב-RDP לשרת טרמינל. ברשתות של 5 תחנות ומעלה חשוב להתקין ממשק ניהול לאנטי וירוס, כדי להיות בבקרה על הנושא.
- עדכוני מיקרוסופט קריטיים אחרונים חובה במחשב או ברשת: חשוב להגדיר עדכונים אוטומטיים , ולבצע מעקב תקופתי שהם אכן מתבצעים.
- חומת אש המובנית במערכות הפעלה מיקרוסופט אינה מספקת להתמודדות עם האיום הנ"ל: יש להשתמש בחומת אש מתקדמת של אחת החברות המובילות בתחום. בארגונים מומלץ כמובן להשתמש בהתקן פיזי של חומת אש של אחת החברות המובילות כדוגמת Fortinet.
- יש להגדיר סיסמת אבטחת מורכבת לחיבור מרחוק (באורך 8 תווים לפחות ומכילה אותיות קטנות, גדולות, מספרים ותווים מיוחדים) כדי למנוע פריצה של הסיסמא בהתקפה.
- גיבויים שבועיים או דו-שבועיים (מומלץ גיבוי אונליין ולא מקומי) של מידע חשוב במחשב או בשרתים ובתחנות, ובדיקה תקופתית של שחזור הגיבויים כדי לוודא שהם תקינים.
- אין לאשר הרשאות Administrator למשתמשים – משום שהתקפות מסוג זה מאתרות פרצות כאלה שמאפשרות להם לרוץ על הפרופיל המקומי ובאמצעותו להדביק את שאר הרשת.
- חיסמו סיומות EXE בתוכנת האנטי וירוס שסורקת את הדוא"ל – במקרים רבים מודבקים מחשבים באמצעות קובץ EXE שמצורף לאימייל. באופן כללי, אין סיבה שקבצי הפעלה ישלחו למשתמשים ברשת, ולכן מומלץ לאכוף מדיניות של חסימת סיומות של קבצי הפעלה, ובמיוחד קבצי EXE.
כיצד להתמודד עם מחשב או תיקיה משותפת שבהם הוצפנו כבר קבצים:
- ברגע שמזהים פגיעת התוכנה הזדונית, יש לפנות מידית ליזמקו לטובת טיפול בבעיה!
- יזמקו – 3730* 03-6143737
- לשחזר את הקבצים מגיבוי – כמובן, לאחר ביצוע הפעולות המומלצות להתגוננות, על מנת לוודא שלא קיים וירוס פעיל במחשב או ברשת.
- במקרה של קבצים שקודדו בתיקיה משותפת על שרת קבצים, ניתן לבדוק מהו המחשב הנגוע שממנו הם קודדו על ידי בדיקה של ה-ownership של הקבצים שקודדו, ולנקות אותו או לעדכן אותו על מנת שלא יקודד אותם שוב.
