Noul ransomware care atacă mai întâi cele mai importante fișiere: Prinz Eugen nu lasă nici măcar un mesaj de răscumpărare

Un nou ransomware numit Prinz Eugen începe să atragă atenția specialiștilor în securitate cibernetică printr-o tactică menită să producă haos cât mai repede într-o companie. În loc să cripteze fișierele într-o ordine aleatorie, malware-ul caută cu prioritate documentele modificate recent, adică exact acele date care au cele mai mari șanse să fie încă folosite în activitatea de zi cu zi.

Strategia are o logică simplă și periculoasă. Fișierele actualizate recent pot include contracte, facturi, rapoarte, baze de date, proiecte în lucru sau documente interne de care depinde funcționarea unei organizații, spun specialiștii. Dacă acestea devin inaccesibile primele, presiunea asupra victimei crește imediat, iar atacatorii speră că șansele de plată a răscumpărării devin mai mari.

Prinz Eugen are și o particularitate care îl face mai greu de observat: nu lasă în urmă clasica notă de răscumpărare. Victima poate descoperi pur și simplu că fișierele nu se mai deschid, fără instrucțiuni clare pe desktop și fără un document text care să explice ce s-a întâmplat.

Cum funcționează atacul care lovește întâi datele active

Cercetătorii care au analizat Prinz Eugen spun că operațiunea pare să fie condusă manual, nu printr-o campanie complet automatizată. Atacatorii ar obține acces inițial prin credențiale RDP furate, apoi folosesc instrumente legitime de administrare de la distanță și funcții deja existente în Windows pentru a se deplasa prin rețea fără să atragă imediat atenția.

Vezi și:

Mai mulţi turişti din Grecia au ajuns la spital după ce au fost muşcaţi de peștele-iepure. Cum arată şi la ce să fii atent

Într-un incident analizat, atacatorii au folosit RemotePC, un program legitim de administrare la distanță, și au creat un cont de administrator ascuns pentru a păstra accesul la rețea. Este o tactică tot mai întâlnită în atacurile moderne: în loc să se bazeze exclusiv pe malware evident, infractorii folosesc instrumente normale, pe care multe companii le au deja instalate sau le permit în infrastructură.

După ce ajunge pe sistem, ransomware-ul scanează directoarele fără limită de adâncime și criptează aproape toate fișierele găsite. Documentele sunt procesate în funcție de data ultimei modificări: cele mai recente intră primele în vizor. Atunci când mai multe fișiere au aceeași dată și oră, malware-ul le selectează în ordine alfabetică.

Această metodă nu este doar o alegere tehnică. Este construită pentru a bloca rapid activitatea curentă a unei organizații. Un backup mai vechi poate ajuta la recuperare, însă un fișier editat în ultimele zile sau ore poate conține informații care nu există în altă parte. Exact această pierdere a datelor recente face atacul deosebit de costisitor, chiar și pentru firmele care au copii de siguranță.

Vezi și:

Agenții AI pot fi păcăliți mai ușor decât crezi. OpenClaw, prins în teste care arată cum pot fi furate date sensibile

Cum a paralizat un student internetul fără să vrea. Greșeala de cod care a declanșat primul mare „virus” online în 1988

De ce lipsa notei de răscumpărare este un semnal periculos

În mod normal, un atac ransomware lasă un fișier text cu instrucțiuni de plată, o adresă de contact și o amenințare privind publicarea datelor furate. Prinz Eugen nu face asta. Malware-ul nu schimbă imaginea de fundal, nu afișează un mesaj pe ecran și nu lasă un document care să spună victimei ce trebuie să facă mai departe.

Lipsa unei note de răscumpărare are un rol important în ascunderea atacului. Multe soluții de securitate caută comportamente asociate cu ransomware-ul, inclusiv apariția bruscă a unor fișiere cu nume repetate în sute sau mii de directoare. Dacă nu există acel mesaj, unele alerte automate pot întârzia, iar atacatorii câștigă timp.

Comunicarea cu victimele este mutată în afara sistemului compromis, prin e-mail, telefon sau portaluri dedicate de pe dark web. Astfel, atacatorii reduc urmele digitale pe care echipele de securitate le pot analiza ulterior. Este o diferență importantă față de ransomware-ul clasic, unde atacul devine imediat evident printr-un mesaj afișat pe calculator.

Prinz Eugen folosește algoritmi moderni de criptare și încearcă să elimine cheia din memorie după finalizarea procesului. Malware-ul se poate șterge singur de pe disc, ceea ce complică investigația. Pentru compania atacată, acest lucru poate însemna că primele semne apar abia când angajații observă că documentele esențiale nu mai pot fi accesate.

Ce pot face companiile pentru a reduce riscul

Prinz Eugen pare să vizeze organizații, nu utilizatori obișnuiți, însă lecțiile sunt valabile pentru orice firmă care permite acces la distanță în rețeaua internă. Primul punct de verificat este RDP-ul. Accesul la distanță nu ar trebui să fie expus direct pe internet fără autentificare multifactor, parole unice și reguli clare privind cine îl poate folosi.

Este important și să verifici ce aplicații de administrare la distanță sunt instalate în companie. Programe precum RemotePC, TeamViewer, AnyDesk sau alte soluții similare pot fi utile pentru suport tehnic, dar devin riscante când sunt instalate fără control sau când nu sunt monitorizate. Un software legitim apărut brusc pe un server ori pe un calculator care nu avea nevoie de el trebuie investigat rapid.

Backupurile rămân una dintre cele mai bune metode de apărare, însă nu este suficient să existe. Ele trebuie păstrate separat de rețeaua principală, testate periodic și protejate astfel încât un atacator să nu le poată șterge sau cripta odată cu restul datelor. O copie de siguranță care nu poate fi restaurată rapid nu ajută prea mult în primele ore după un incident.

În final, atacul Prinz Eugen arată că ransomware-ul devine tot mai atent la ceea ce contează cu adevărat pentru victimă. Nu mai este vorba doar despre blocarea unor fișiere, ci despre alegerea exactă a datelor care pot opri o companie din activitate. Iar când nici măcar nu primești un mesaj de răscumpărare, timpul pierdut până înțelegi ce se întâmplă poate deveni una dintre cele mai mari probleme.

Polymarket, acuzată că a plătit creatori pentru clipuri cu pariuri false și câștiguri inventate