Zeo Ransomware

Zaštita osobnih i poslovnih sustava od destruktivnog zlonamjernog softvera je ključna, jer i jedno jedino kompromitiranje može dovesti do dugotrajnih posljedica. Ransomware ostaje jedna od najrazornijih prijetnji u optjecaju, a Zeo Ransomware je odličan primjer sofisticiranosti koju su dosegle moderne operacije iznude.

Nova varijanta s poznatim korijenima

Zeo se pojavio tijekom rutinskog praćenja prijetnji i brzo je povezan s dugogodišnjom obitelji ransomwarea Dharma. Nakon što probije sustav, šifrira podatke i mijenja nazive datoteka dodavanjem ID-a specifičnog za žrtvu, adrese e-pošte napadača i ekstenzije '.zeo'. Tipičan primjer je transformirana datoteka poput '1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo'.

Nakon faze šifriranja, Zeo isporučuje dvije poruke s zahtjevom za otkupninu: skočni prozor s proširenim uputama i običnu tekstualnu datoteku pod nazivom 'info.txt'. Obje naglašavaju da je jedini način za vraćanje pristupa kontaktirati napadače i platiti otkupninu u Bitcoinu. Skočna poruka pokušava izgraditi povjerenje nudeći ograničeni besplatni test dešifriranja, a istovremeno prijeti nepovratnom štetom ako žrtve izmijene datoteke ili pokušaju samostalno oporaviti podatke.

Kako Zeo funkcionira ispod haube

Kao i druge Dharma varijante, Zeo se fokusira na šifriranje podataka pohranjenih lokalno i na mrežno dijeljenim lokacijama. Stabilnost sustava je očuvana jer Zeo izbjegava neovlaštene radnje s kritičnim komponentama operativnog sustava. Kako bi se spriječile pogreške tijekom šifriranja, prekida procese vezane uz datoteke koje su trenutno otvorene, poput mehanizama baza podataka i preglednika dokumenata.

Ransomware uključuje nekoliko zaštitnih mjera ponašanja. Provjerava prikupljene podatke o geolokaciji kako bi utvrdio treba li nastaviti s napadima, potencijalno izbjegavajući regije koje mogu biti neprofitabilne ili politički osjetljive. Također uključuje mehanizam namijenjen sprječavanju dvostrukog šifriranja, iako je logika isključenja nepotpuna i ne uzima u obzir svaku obitelj ransomwarea.

Perzistentnost se postiže kroz dvije primarne metode: kopiranjem u direktorij %LOCALAPPDATA% i registriranjem unosa za automatsko pokretanje pod određenim ključevima Run. Zeo dodatno briše kopije volumena u sjeni kako bi uklonio ugrađene opcije oporavka na koje bi se korisnici inače mogli oslanjati.

Vektori infekcije i taktike širenja

Prijetnje temeljene na Dharmi često infiltriraju sustave putem izloženih ili slabo osiguranih usluga protokola udaljene radne površine (Remote Desktop Protocol). Napadači se oslanjaju na napade grubom silom i napade rječnikom kako bi dobili pristup, a kompromitirani sustavi mogu imati oslabljene ili onemogućene vatrozidove ubrzo nakon upada.

Drugi putevi distribucije i dalje su prevladavajući. Akteri prijetnji često se oslanjaju na obmanjujuće e-poruke, zlonamjerne priloge, kompromitirana preuzimanja, lažna ažuriranja, crackove i piratski sadržaj. Opasni sadržaji pojavljuju se u brojnim formatima, uključujući arhive, izvršne datoteke, dokumente, JavaScript datoteke i još mnogo toga. U nekim slučajevima, zlonamjerni softver širi se lateralno na druge uređaje na istoj mreži ili putem prijenosne pohrane.

Zašto plaćanje otkupnine nije sigurno rješenje

Žrtve rijetko imaju tehnička sredstva za dešifriranje datoteka pogođenih modernim ransomwareom. Osim ako zlonamjerni softver ne sadrži kritičnu grešku, samo operateri posjeduju potrebne ključeve. Međutim, plaćanje otkupnine ne jamči da će napadači isporučiti funkcionalan dekriptor, a žrtve često gube i novac i podatke. Financiranje takvih operacija također podržava daljnje kriminalne aktivnosti.

Uklanjanje ransomwarea je potrebno kako bi se spriječila daljnja šteta, ali uklanjanje Zeo-a ne vraća šifrirane datoteke. Oporavak je moguć samo putem čistih sigurnosnih kopija pohranjenih na odvojenim lokacijama, kao što su izvanmrežni uređaji ili sigurni udaljeni poslužitelji.

Jačanje sigurnosti uređaja

Slojeviti pristup drastično smanjuje rizik od kompromitiranja ransomwareom. Sljedeće prakse pomažu u jačanju dugoročne otpornosti:

Osnovne preventivne mjere

Održavajte strogu kontrolu nad pristupom putem Remote Desktop Protocol-a korištenjem snažnih, jedinstvenih vjerodajnica, onemogućavanjem vanjskog pristupa kada nije potreban i provođenjem ograničavanja brzine ili višefaktorske autentifikacije.

Pravovremeno primijenite sigurnosna ažuriranja na operativni sustav, instalirani softver i komponente izložene mreži.

Dodatne preporuke najbolje prakse

Čuvajte pouzdane sigurnosne kopije s verzijama na više izoliranih lokacija, uključujući izvanmrežnu ili nepromjenjivu pohranu.

• Koristite pouzdane sigurnosne alate za praćenje sumnjivih aktivnosti i blokiranje zlonamjernog softvera prije izvršenja.
• Neželjenim e-porukama, prilozima i ponudama za preuzimanje pristupite sa skepticizmom, posebno onima koje se lažno predstavljaju kao legitimne organizacije ili nude besplatan softver.
• Izbjegavajte piratski softver, nepouzdane portale za preuzimanje i sumnjive oglase u pregledniku.
• Kad god je to moguće, ograničite administratorske privilegije i osigurajte da se svakodnevni zadaci obavljaju pomoću računa koji nisu administratori.

Kombiniranjem disciplinirane higijene sustava s robusnim kontrolama pristupa i dobro održavanim sigurnosnim kopijama, korisnici značajno smanjuju svoju izloženost prijetnjama poput Zeo Ransomwarea i bolje su pripremljeni za brz oporavak u slučaju napada.