VECT 2.0 scheitert in Nicht-Kosten und verwandelt die Ansomware in irreversible Daten Löschen

Ein VECT 2.0-Fehler verwandelt die vermeintliche Ansomware in einen irreversiblen Entwurf: Prüfpunkt-Wissenschaftler haben festgestellt, dass die VECT-Version 2.0 bei der Blockverschlüsselung nicht mit Nicht-Kosten umgehen kann, was dazu führt, dass große Dateien dauerhaft nutzlos und nicht einfach verschlüsselt sind. Dieser Ausfall ist kein kleiner Implementierungsdetail: Er beeinflusst den grundlegenden kryptographischen Mechanismus, der sicherstellt, dass jeder verschlüsselte Block unabhängig wiederhergestellt werden kann.

In technischer Hinsicht versucht VECT, die Verschlüsselung großer Dateien zu beschleunigen, indem sie in Teile (Chunks) unterteilt und für jeden Bruch ein Nonce erzeugt wird. Jedoch werden alle Nonces im gleichen Speicherpuffer erzeugt und in jeder Iteration überschrieben; am Ende der Operation wird nur das letzte Nonce in der Festplatte geschrieben. Der Effekt ist, dass in der Praxis nur der letzte Teil der Datei (etwa 25% je nach Analyse) die Nichtze, die notwendig ist, um sie zu entschlüsseln. Der Rest ist irreversibel verstümmelt, weil die oben genannten Nichterscheinungen nie an den Bediener geschickt oder auf der Scheibe aufbewahrt werden.

Die Auswirkungen auf die Geschäftsumgebungen sind schwer. Check Point weist darauf hin, dass die Schwelle, die VECT für "große Datei" hält, nur 128 KB beträgt, viel weniger als üblich in virtuellen Festplatten, Backups, Datenbanken und vielen Geschäftsdokumenten; das macht das "Unfallabbau" Verhalten die meisten kritischen Vermögenswerte beeinflussen. Darüber hinaus ist in den Varianten für Windows, Linux und ESXi die gleiche fehlerhafte Logik vorhanden, so dass Server und Virtualisierungssysteme gleichermaßen exponiert werden. Weitere technische Details finden Sie im Bericht Check Point: Prüfpunktforschung auf VECT 2.0.

Der operative Kontext erhöht die Schwere des Problems: VECT wurde in geheimen BreachForums-Foren mit einem Affiliate-Modell gefördert und, nach Berichten, die Betreiber kündigte eine Vereinigung mit der TeamPCP Gruppe, beteiligt an den jüngsten Verpflichtungen von Lieferketten, die Projekte wie Trivy oder LiteLLM und Dienstleistungen wie Telnyx. Diese Zusammenarbeit deutet darauf hin, dass VECT möglicherweise nach Anbieter- oder Softwareverpflichtungen eingesetzt werden kann, ein Vektor, der den potenziellen Schaden multipliziert und die Reaktion erschwert.

Es ist wichtig zu verstehen, warum die Bezahlung des Lösegeldes nicht dienen kann: Da die verlorenen Nichterscheinungen nicht auf den Angreifer bezogen werden, selbst wenn ein Opfer die Anforderungen erfüllt, gäbe es nicht genug Schlüssel, um die Blöcke vor dem letzten wieder aufzubauen. In der Praxis verwandelt dies einen Ransomware-Angriff (wo es Hoffnung auf Wiederherstellung nach Zahlung) in einen Akt der irreversiblen Datenvernichtung für die meisten betroffenen Dateien.

Für Organisationen und Sicherheitsbeamte ist die unmittelbare Priorität zu enthalten und zu erhalten: Isolieren Sie betroffene Maschinen, stoppen Sie die Verbreitung, nehmen Sie forensische Bilder von Datensätzen und Gedächtnis und verbinden Sie mit einem spezialisierten Notfall-Reaktionsteam. Obwohl die Nonces im Speicher überschrieben worden sein können, bleibt die Erfassung eines RAM-Bildes so bald wie möglich eine wertvolle Wirkung für die forensische Untersuchung und die Bestimmung der Reihenfolge des Angriffs und des Eintragspunktes.

Die beste Verteidigung bleibt die Datenverhütung und Widerstandsfähigkeit. Dazu gehören die Aufrechterhaltung einer robusten Sicherung mit Integritätskontrollen und regelmäßigen Restaurierungstests; die Verwendung von unmutbaren oder air@-@-gespaltenen Versionen von Backups, soweit möglich; die Segmentierung von Netzwerken und die Priorisierung des Prinzips des geringeren Privilegs, den Umfang der lateralen Bewegungen zu reduzieren; und die Bereitstellung von Erkennung in Endpunkten und Netzwerktelemetrie, um frühzeitig verdächtige Aktivitäten zu identifizieren.

Darüber hinaus ist es wichtig, die Sicherheitskontrollen in der Lieferkette zu stärken: Einheiten zu überprüfen und zu überwachen, CI / CD-Pipelines zu gewährleisten, Artefakte zu unterzeichnen und zu überprüfen und Sicherheitspraktiken von Lieferanten zu verlangen. Die kryptographische Literatur erinnert auch an die Bedeutung des Umgangs von Nonces und Initialisierungsvektoren rigoros; für einen technischen Hinweis auf die korrekte Verwendung von AEAD-Modi (wie GCM) und Nonces Management, siehe der NIST technischen Leitfaden: NIST SP 800-38D.

Aus Sicht der öffentlich-privaten Reaktion sollten die betreffenden Organisationen Behörden und Regulierungsbehörden nach ihren gesetzlichen und Datenschutzverpflichtungen benachrichtigen und den Umfang der Auswirkungen auf Kunden und Partner transparent übermitteln. Da VECT über Teilnehmer und Foren verteilt wird, kann das Teilen von Indikatoren für das Engagement mit der Community und sektoralen Schwerpunkte dazu beitragen, neue Einsatzbereiche zu identifizieren und Risiken zu mindern.

Eine Nachricht für CISUS und technische Geräte: Überprüfung der Sicherungs- und Retentionsrichtlinien, aktivieren Sie Wiederherstellungstests auf verschiedenen Szenarien, Quarantäne verdächtige Systeme und bereiten Kontinuitätspläne, die die Möglichkeit eines teilweisen oder vollständigen Verlusts kritischer Vermögenswerte berücksichtigen. Wenn Ihre Organisation von subkontrahierten Software- oder Dienstleistungsanbietern abhängt, priorisieren Sie die Bewertung solcher Anbieter und die Überprüfung der Integrität von Artefakten.

Kurz gesagt, der VECT 2.0 Vorfall ist eine Erinnerung daran, dass kryptographische Implementierungsfehler eine Verschlüsselungs-Malware in einen Datenzerstörer verwandeln können und dass die Kombination von kriminellen Affiliate-Modellen und Supply-Chain-Angriffen das systemische Risiko verstärkt. Die Verteidigung erfordert sowohl präzise technische Kontrollen als auch operative und vertragliche Praktiken, die die Wahrscheinlichkeit eines Eindringens verringern und die reale Möglichkeit der Wiederherstellung erhöhen, wenn ein Engagement auftritt.