Zollo ransomware

Prijetnje zlonamjernog softvera nastavljaju se razvijati u sofisticiranosti, čineći zaštitu uređaja ključnim prioritetom za pojedince i organizacije podjednako. Napadi ransomwarea, posebno, mogu uzrokovati ozbiljne operativne poremećaje, financijske gubitke i otkrivanje osjetljivih podataka. Jedna nedavno uočena prijetnja je Zollo Ransomware, zlonamjerni program dizajniran za šifriranje datoteka i iznuđivanje plaćanja od žrtava. Razumijevanje načina na koji ova prijetnja funkcionira i kako se širi ključno je za izgradnju jače obrane od sličnih napada.

Pojava Zollo ransomwarea

Zollo Ransomware identificiran je kao varijanta obitelji ransomwarea MedusaLocker. Poput drugih članova ove obitelji, dizajniran je za infiltraciju u sustave, šifriranje vrijednih datoteka i vršenje pritiska na žrtve da plate otkupninu u zamjenu za dešifriranje.

Nakon što se pokrene na kompromitiranom uređaju, zlonamjerni softver skenira sustav u potrazi za dostupnim datotekama i šifrira ih pomoću snažnih kriptografskih algoritama. Nakon šifriranja, ransomware mijenja nazive datoteka dodavanjem prepoznatljive ekstenzije kao što je '.zollo6'. Na primjer:

• 1.png postaje 1.png.zollo6
• 2.pdf postaje 2.pdf.zollo6

Broj u ekstenziji može varirati, ali rezultat ostaje isti: šifrirane datoteke postaju nedostupne korisniku. Osim što zaključava datoteke, ransomware mijenja pozadinu radne površine sustava i na uređaj postavlja poruku s zahtjevom za otkupninu pod nazivom 'READ_NOTE.html'.

Metode šifriranja i poruka o otkupnini

U poruci s zahtjevom za otkupninu koju su ostavili napadači tvrdi se da su datoteke osigurane kombinacijom RSA i AES enkripcije, koje su uobičajeno korištene kriptografske metode u modernim operacijama ransomwarea. Prema poruci, svaki pokušaj vraćanja, preimenovanja ili izmjene šifriranih datoteka može dovesti do trajnog oštećenja podataka.

Napadači inzistiraju da nijedan javno dostupan softver ne može oporaviti datoteke i tvrde da samo njihov vlasnički alat za dešifriranje može vratiti pristup. Žrtve se upućuju da kontaktiraju operatere putem navedenih adresa e-pošte:

• recovery1@salamati.vip
• oporavak1@amniyat.xyz

Poruka također uvodi element vremenskog pritiska: žrtve se upozoravaju da će se iznos otkupnine povećati ako se kontakt ne uspostavi u roku od 72 sata.

Krađa podataka i taktike dvostruke iznude

Posebno zabrinjavajuća značajka ove varijante ransomwarea je tvrdnja da su povjerljivi podaci ukradeni prije enkripcije. Napadači navode da su ti podaci pohranjeni na privatnom poslužitelju pod njihovom kontrolom.

Prema poruci s zahtjevom za otkupninu, plaćanje će rezultirati brisanjem ukradenih podataka s njihovih poslužitelja. Ako se otkupnina ne plati, operateri prijete objavljivanjem ili prodajom informacija. Ova strategija, poznata kao dvostruka iznuda, povećava pritisak na žrtve kombinirajući enkripciju podataka s rizikom od javnog izlaganja podataka.

Čak i kada žrtve udovolje zahtjevima za otkupninom, ne postoji jamstvo da će napadači osigurati funkcionalan alat za dešifriranje ili izbrisati ukradene podatke. Iz tog razloga, stručnjaci za kibernetičku sigurnost općenito obeshrabruju plaćanje otkupnine.

Kako se Zollo Ransomware širi

Kampanje ransomwarea često se oslanjaju na obmanu i društveni inženjering kako bi infiltrirale sustave. Napadači često prikrivaju zlonamjerne datoteke kao legitimne datoteke kako bi prevarili korisnike da ih izvrše.

Uobičajeni vektori infekcije uključuju:

• Zlonamjerni privitci e-pošte ili poveznice ugrađene u phishing e-poruke
• Lažna upozorenja tehničke podrške osmišljena kako bi namamila žrtve na preuzimanje zlonamjernog softvera
• Crackirani softver, neslužbeni generatori ključeva i piratske aplikacije
• Zastarjeli softver s neispravljenim ranjivostima
• Kompromitirane web stranice, zlonamjerni oglasi i peer-to-peer mreže za dijeljenje datoteka
• Programi za preuzimanje trećih strana ili zaraženi USB pogoni

Nakon pokretanja, ransomware odmah počinje šifrirati datoteke i može pokušati proširiti se na povezane sustave unutar iste mreže.

Izazovi oporavka i odgovor na incidente

Nakon što se izvrši enkripcija, žrtve obično ne mogu otvoriti zaražene datoteke bez ključa za dešifriranje napadača. Oporavak postaje moguć samo u određenim okolnostima, a posebno kada postoje sigurne sigurnosne kopije koje nisu bile povezane sa zaraženim sustavom tijekom napada.

Odmah nakon otkrivanja, ransomware je ključno ukloniti. Ako zlonamjerni softver ostane aktivan na uređaju, može nastaviti šifrirati dodatne datoteke ili pokušati se širiti na druge strojeve u mreži. Brza izolacija zaraženog sustava stoga može ograničiti štetu i spriječiti daljnje širenje.

Osnovne sigurnosne prakse za sprječavanje ransomwarea

Snažne sigurnosne navike značajno smanjuju vjerojatnost zaraze prijetnjama poput Zollo Ransomwarea. Učinkovita zaštita zahtijeva kombinaciju proaktivnih tehničkih kontrola i opreznog ponašanja korisnika.

Redovito ažuriranje operativnih sustava, aplikacija i sigurnosnih alata ključno je, jer mnoge kampanje ransomwarea iskorištavaju ranjivosti u zastarjelom softveru. Jednako je važno korištenje pouzdanih antivirusnih ili rješenja za zaštitu krajnjih točaka sposobnih za otkrivanje sumnjivog ponašanja.

Održavanje sigurnosnih kopija izvan mreže ili u oblaku jedna je od najučinkovitijih zaštitnih mjera. Sigurnosne kopije treba pohranjivati odvojeno od primarnog sustava kako se ne bi mogle šifrirati tijekom napada. U slučaju zaraze, čiste sigurnosne kopije mogu omogućiti oporavak sustava bez plaćanja otkupnine.

Korisnici bi također trebali s oprezom pristupati privitcima e-pošte i preuzimanjima. Sumnjive datoteke, posebno one koje tvrde da su hitne ili zahtijevaju hitnu akciju, trebale bi se provjeriti prije otvaranja. Organizacije često jačaju ovu obranu filtriranjem e-pošte, sandboxingom privitaka i obukom o sigurnosti.

Segmentacija mreže može dodatno smanjiti rizik ograničavanjem širenja ransomwarea nakon što uđe u okruženje. U kombinaciji s kontrolama pristupa i sustavima nadzora, segmentacija pomaže u suzbijanju infekcija prije nego što zahvate kritičnu infrastrukturu.

Završne misli

Prijetnje ransomwarea poput Zollo Ransomwarea naglašavaju važnost proaktivnih mjera kibernetičke sigurnosti. Šifriranjem datoteka, prijetnjom izlaganja podataka i pritiskom na žrtve vremenski osjetljivim zahtjevima za otkupninu, napadači nastoje prisiliti na brza plaćanja.

Višeslojna obrambena strategija, koja kombinira ažuriranja sustava, pouzdane sigurnosne kopije, sigurnosni softver i oprezne korisničke prakse, ostaje najučinkovitiji način ublažavanja ovih prijetnji. Rano otkrivanje i brza reakcija mogu dramatično smanjiti utjecaj incidenata s ransomwareom i zaštititi vrijedne podatke od nepovratnog gubitka.