Studie SophosLabs nazvaná „ProLock ransomware vám poskytne dešifrování prvních 8 kilobajtů zdarma“ přináší detailní pohled na ProLock, což je nepředvídatelný, destruktivní ransomware se znepokojivými následky. Ve zmíněné studii SophosLabs poskytnul detailní pohled na tento ransomware a jeho obvyklý postup zašifrování souborů, kdy přeskakuje soubory menší než 8 192 bajtů a šifrování větších souborů začíná po prvních 8 192 bajtech. Výsledkem jsou soubory, které jsou částečně čitelné a z části zašifrované. To mohlo přispět k tomu, proč dešifrovací klíč, který oběti obdrží po zaplacení výkupného, aby svá data zase dešifrovali, ve skutečnosti zašifrované soubory poškodí. To znamená, že i když oběti zaplatí, existuje možnost, že budou jejich data ztracena nebo bude jejich obnova ještě nákladnější.

I bez zašifrování kvůli výkupnému může ProLock svým obětem způsobit značnou ekonomickou škodu, protože šifrování je pravděpodobně pouze posledním krokem při narušení cílené sítě. Sophos pro prevenci před těmito typy útoků doporučuje především zabezpečení vzdáleného přístupu k síti, zejména přesunout přístup přes RDP (Remote Desktop Protocol) za virtuální privátní síť a pro vzdálený přístup používat vícefaktorovou autentizaci. Samozřejmostí by mělo být udržování off-line záloh a ochrana desktopů i serverů před malwarem.

„I za nejlepších okolností je těžké se z ransomwarového útoku zotavit. Ale obvyklé šifrovací schéma ransomwaru ProLock, společně s vadným dešifrovacím nástrojem poskytovaným útočníky obětem ochotným spolupracovat a zaplatit výkupné, obnovení ještě více komplikují,“ říká Sean Gallagher, senior threat research ve společnosti Sophos. „V prostředí ransomwaru jsou taktiky, které ProLock používá, bolestně známé – použít RDP, phishing nebo malware třetích stran pro získání vzdáleného přístupu a využít nativní nástroje Windows k šíření jejich malwaru. Použití steganografie ke skrytí jejich kódu a obfuskovaných PowerShell skriptů pro jeho spuštění činí detekování těchto typů útoků bez silné ochrany před malwarem přinejmenším obtížným, a to zejména během pandemie. Společnosti se musí důkladně podívat na to, jak nasazují RDP a vzdálený přístup. zavedení dvoufaktorové autentizace pro vzdálený přístup a umístění RDP relací za virtuální privátní síť může významným způsobem snížit potenciál pro takové útoky.“

Obr. 1: Printscreen oznámení ransomwaru ProLock, zdroj: SophosLabs.