תוכנת כופר Zeo

הגנה על מערכות אישיות ועסקיות מפני תוכנות זדוניות הרסניות היא חיונית, שכן פגיעה אחת עלולה להוביל לתוצאות ארוכות טווח. תוכנות כופר נותרות אחת האיומים המשבשים ביותר במחזור, ותוכנות כופר Zeo הן דוגמה מצוינת לתחכום שאליו הגיעו פעולות סחיטה מודרניות.

גרסה חדשה עם שורשים מוכרים

Zeo צץ במהלך ניטור איומים שגרתי ונקשר במהירות למשפחת תוכנות הכופר ארוכות השנים של Dharma. ברגע שהיא פורצת למערכת, היא מצפינה נתונים ומשנה שמות קבצים על ידי הוספת מזהה ספציפי לקורבן, כתובת הדוא"ל של התוקפים וסיומת '.zeo'. דוגמה אופיינית היא קובץ שעבר טרנספורמציה כגון '1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo'.

לאחר שלב ההצפנה, Zeo מספק שתי הודעות כופר: חלון קופץ המכיל הוראות מורחבות וקובץ טקסט רגיל בשם 'info.txt'. שתיהן מדגישות שהדרך היחידה לשחזר את הגישה היא ליצור קשר עם התוקפים ולשלם כופר בביטקוין. ההודעה הקופצת מנסה לבנות אמון על ידי הצעת בדיקת פענוח חינמית מוגבלת, תוך איום על נזק בלתי הפיך אם הקורבנות ישנו קבצים או ינסו שחזור עצמאי.

איך זיאו פועל מתחת למכסה המנוע

כמו גרסאות אחרות של דהרמה, Zeo מתמקד בהצפנת נתונים המאוחסנים הן באופן מקומי והן במיקומים משותפים ברשת. יציבות המערכת נשמרת, שכן Zeo נמנעת מפגיעה ברכיבי מערכת הפעלה קריטיים. כדי למנוע שגיאות במהלך ההצפנה, הוא מסיים תהליכים הקשורים לקבצים הפתוחים כעת, כגון מנועי מסדי נתונים ומציגי מסמכים.

תוכנת הכופר משלבת מספר אמצעי הגנה התנהגותיים. היא בודקת נתוני מיקום גיאוגרפי שנאספו כדי לקבוע האם להמשיך בהתקפות, תוך הימנעות פוטנציאלית מאזורים שעשויים להיות לא רווחיים או רגישים מבחינה פוליטית. היא כוללת גם מנגנון שנועד למנוע הצפנה כפולה, אם כי לוגיקת ההדרה אינה שלמה ואינה מתחשבת בכל משפחת תוכנות הכופר.

השגחה מושגת באמצעות שתי שיטות עיקריות: העתקת עצמה לספרייה %LOCALAPPDATA% ורישום ערכי הפעלה אוטומטית תחת מקשי הפעלה ספציפיים. בנוסף, Zeo מוחק עותקי צל של נפחים כדי להסיר אפשרויות שחזור מובנות שמשתמשים היו מסתמכים עליהן אחרת.

וקטורי זיהום וטקטיקות התפשטות

איומים מבוססי דהרמה חודרים לעתים קרובות למערכות דרך שירותי פרוטוקול שולחן עבודה מרוחק חשופים או בעלי אבטחה גרועה. תוקפים מסתמכים על התקפות כוח ברוט ומילון כדי לקבל גישה, וחומות האש של מערכות שנפרצו עלולות להיחלש או להשבית זמן קצר לאחר הפריצה.

נתיבי הפצה אחרים נותרו נפוצים. גורמי איום מסתמכים לעתים קרובות על מיילים מטעים, קבצים מצורפים זדוניים, הורדות פרוצות, עדכונים הונאה, סדקים ותוכן פיראטי. מטענים מסוכנים מופיעים בפורמטים רבים, כולל ארכיונים, קבצי הרצה, מסמכים, קבצי JavaScript ועוד. במקרים מסוימים, תוכנה זדונית מתפשטת לרוחב למכשירים אחרים באותה רשת או דרך אחסון נייד.

מדוע תשלום הכופר אינו פתרון בטוח

לקורבנות לעיתים רחוקות יש את האמצעים הטכניים לפענח קבצים שנפגעו מתוכנת כופר מודרנית. אלא אם כן התוכנה הזדונית מכילה פגם קריטי, רק למפעילים יש את המפתחות הנדרשים. עם זאת, תשלום הכופר אינו מבטיח שהתוקפים יספקו כלי פענוח תקין, וקורבנות לעתים קרובות מאבדים את כספם ואת נתוניהם. מימון פעולות כאלה גם תומך בפעילות פלילית נוספת.

הסרת תוכנות כופר נחוצה כדי למנוע נזק נוסף, אך הסרת Zeo אינה משחזרת קבצים מוצפנים. שחזור אפשרי רק באמצעות גיבויים נקיים המאוחסנים במיקומים נפרדים, כגון מכשירים לא מקוונים או שרתים מרוחקים מאובטחים.

חיזוק אבטחת המכשיר

גישה מרובדת מפחיתה באופן דרסטי את הסיכון לפגיעה בתוכנות כופר. הפרקטיקות הבאות מסייעות לחזק את החוסן לטווח ארוך:

אמצעי מניעה מרכזיים

שמרו על שליטה קפדנית על גישת פרוטוקול שולחן עבודה מרוחק (Remote Desktop Protocol) על ידי שימוש באישורים חזקים וייחודיים, השבתת גישה חיצונית כאשר אין צורך בכך ואכיפת אימות מגביל קצב או אימות רב-גורמי.

יש להחיל עדכוני אבטחה באופן מיידי על פני מערכת ההפעלה, התוכנות המותקנות והרכיבים החשופים לרשת.

המלצות נוספות לשיטות עבודה מומלצות

שמור גיבויים אמינים ומוגדרים בגירסאות מרובות במיקומים מבודדים, כולל אחסון לא מקוון או בלתי ניתן לשינוי.

• השתמשו בכלי אבטחה בעלי מוניטין כדי לנטר פעילות חשודה ולחסום תוכנות זדוניות לפני ביצוען.
• גשו בספקנות להודעות דוא"ל, קבצים מצורפים והצעות הורדה לא רצויות, במיוחד כאלה המתחזים לארגונים לגיטימיים או המציעים תוכנה חינמית.
• הימנעו מתוכנות פיראטיות, פורטלי הורדה לא אמינים ופרסומות מפוקפקות מבוססות דפדפן.
• הגבל את הרשאות המנהל בכל הזדמנות אפשרית וודא שמשימות יומיומיות מבוצעות באמצעות חשבונות שאינם מנהלי מערכת.

על ידי שילוב של היגיינת מערכת ממושמעת עם בקרות גישה חזקות וגיבויים מתוחזקים היטב, משתמשים מפחיתים משמעותית את חשיפתם לאיומים כמו Zeo Ransomware ומוכנים טוב יותר להתאושש במהירות במקרה של התקפה.