Zeo Ransomware

حماية الأنظمة الشخصية والتجارية من البرمجيات الخبيثة المدمرة أمرٌ بالغ الأهمية، إذ قد يؤدي اختراق واحد إلى عواقب وخيمة. ولا تزال برامج الفدية من أكثر التهديدات انتشارًا، ويُعد برنامج الفدية Zeo مثالًا بارزًا على التطور الذي وصلت إليه عمليات الابتزاز الحديثة.

متغير جديد بجذور مألوفة

ظهر برنامج Zeo أثناء رصد التهديدات الروتينية، وسرعان ما ارتبط بعائلة برامج الفدية Dharma طويلة الأمد. بمجرد اختراقه للنظام، يُشفّر البيانات ويُغيّر أسماء الملفات بإضافة مُعرّف خاص بالضحية، وعنوان البريد الإلكتروني للمهاجم، وامتداد ".zeo". ومن الأمثلة الشائعة على ذلك ملف مُحوّل مثل "1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo".

بعد مرحلة التشفير، يُرسل زيو مذكرتي فدية: نافذة منبثقة تحتوي على تعليمات مُوسّعة وملف نص عادي باسم "info.txt". يُؤكد كلاهما أن الطريقة الوحيدة لاستعادة الوصول هي الاتصال بالمهاجمين ودفع فدية بالبيتكوين. تُحاول الرسالة المنبثقة بناء الثقة من خلال عرض اختبار فك تشفير مجاني محدود، مع التهديد بضرر لا رجعة فيه في حال تعديل الضحايا للملفات أو محاولة استردادها بشكل مستقل.

كيف يعمل Zeo تحت الغطاء

كما هو الحال مع إصدارات دارما الأخرى، يُركز زيو على تشفير البيانات المخزنة محليًا وفي مواقع مشتركة عبر الشبكة. ويحافظ زيو على استقرار النظام، إذ يتجنب العبث بمكونات نظام التشغيل الأساسية. ولمنع حدوث أخطاء أثناء التشفير، يُنهي العمليات المرتبطة بالملفات المفتوحة حاليًا، مثل محركات قواعد البيانات وعارضات المستندات.

يتضمن برنامج الفدية عدة إجراءات وقائية سلوكية. فهو يتحقق من بيانات الموقع الجغرافي المجمعة لتحديد ما إذا كان ينبغي المضي قدمًا في الهجمات، متجنبًا المناطق التي قد تكون غير مربحة أو حساسة سياسيًا. كما يتضمن آلية تهدف إلى منع التشفير المزدوج، مع أن منطق الاستبعاد غير مكتمل ولا يشمل جميع أنواع برامج الفدية.

يتم تحقيق الثبات بطريقتين رئيسيتين: نسخ نفسه إلى دليل %LOCALAPPDATA% وتسجيل إدخالات التشغيل التلقائي ضمن مفاتيح تشغيل محددة. كما يمسح Zeo نسخ الظل لوحدة التخزين لإزالة خيارات الاسترداد المضمنة التي قد يعتمد عليها المستخدمون عادةً.

ناقلات العدوى وتكتيكات الانتشار

تتسلل التهديدات القائمة على دارما إلى الأنظمة بشكل متكرر عبر خدمات بروتوكول سطح المكتب البعيد المكشوفة أو ضعيفة الحماية. يعتمد المهاجمون على هجمات القوة الغاشمة والقاموس للوصول إلى البيانات، وقد تُضعف جدران الحماية في الأنظمة المخترقة أو تُعطّل بعد وقت قصير من الاختراق.

لا تزال طرق التوزيع الأخرى شائعة. غالبًا ما يعتمد مُنفذو التهديدات على رسائل البريد الإلكتروني المُضللة، والمرفقات الضارة، والتنزيلات المُخترقة، والتحديثات الاحتيالية، وعمليات الاختراق، والمحتوى المُقرصن. تظهر الحمولات الخطيرة بتنسيقات مُتعددة، بما في ذلك الأرشيفات، والملفات القابلة للتنفيذ، والمستندات، وملفات JavaScript، وغيرها. في بعض الحالات، تنتشر البرامج الضارة بشكل جانبي إلى أجهزة أخرى على الشبكة نفسها أو عبر وحدات تخزين محمولة.

لماذا دفع الفدية ليس حلاً آمنًا

نادرًا ما يمتلك الضحايا الوسائل التقنية لفك تشفير الملفات المتأثرة ببرامج الفدية الحديثة. ما لم تحتوي البرامج الضارة على خلل خطير، فإن مُشغِّليها فقط هم من يمتلكون المفاتيح اللازمة. مع ذلك، فإن دفع الفدية لا يضمن حصول المهاجمين على برنامج فك تشفير فعال، وغالبًا ما يخسر الضحايا أموالهم وبياناتهم. كما أن تمويل هذه العمليات يُغذّي المزيد من النشاط الإجرامي.

إزالة برامج الفدية ضرورية لمنع المزيد من الضرر، لكن إزالة Zeo لا تستعيد الملفات المشفرة. لا يمكن استعادة الملفات إلا من خلال نسخ احتياطية نظيفة ومُخزنة في مواقع منفصلة، مثل الأجهزة غير المتصلة بالإنترنت أو الخوادم البعيدة الآمنة.

تعزيز أمن الأجهزة

يُقلل النهج متعدد الطبقات بشكل كبير من خطر اختراق برامج الفدية. تُساعد الممارسات التالية على تعزيز المرونة على المدى الطويل:

التدابير الوقائية الأساسية

الحفاظ على التحكم الصارم في الوصول إلى بروتوكول سطح المكتب البعيد من خلال استخدام بيانات اعتماد قوية وفريدة، وتعطيل الوصول الخارجي عندما لا يكون ذلك ضروريًا، وفرض مصادقة الحد من السرعة أو المصادقة متعددة العوامل.

قم بتطبيق تحديثات الأمان على الفور عبر نظام التشغيل والبرامج المثبتة والمكونات المعرضة للشبكة.

توصيات إضافية لأفضل الممارسات

احتفظ بنسخ احتياطية موثوقة ومُنسَّقة في مواقع متعددة معزولة، بما في ذلك التخزين غير المتصل بالإنترنت أو التخزين غير القابل للتغيير.

• استخدم أدوات الأمان ذات السمعة الطيبة لمراقبة الأنشطة المشبوهة وحظر البرامج الضارة قبل تنفيذها.
• تعامل مع رسائل البريد الإلكتروني غير المرغوب فيها والمرفقات وعروض التنزيل بتشكك، وخاصة تلك التي تنتحل صفة منظمات شرعية أو تقدم برامج مجانية.
• تجنب البرامج المقرصنة، ومواقع التنزيل غير الموثوقة، والإعلانات المشبوهة المستندة إلى المتصفح.
• قم بتقييد الامتيازات الإدارية كلما أمكن ذلك وتأكد من تنفيذ المهام اليومية باستخدام حسابات غير إدارية.

من خلال الجمع بين نظافة النظام المنضبطة وضوابط الوصول القوية والنسخ الاحتياطية التي يتم صيانتها جيدًا، يقلل المستخدمون بشكل كبير من تعرضهم للتهديدات مثل Zeo Ransomware ويكونون مستعدين بشكل أفضل للتعافي بسرعة في حالة حدوث هجوم.