Zeo Ransomware

파괴적인 악성코드로부터 개인 및 기업 시스템을 보호하는 것은 필수적입니다. 단 한 번의 침해만으로도 장기적인 피해를 초래할 수 있기 때문입니다. 랜섬웨어는 여전히 가장 파괴적인 위협 중 하나이며, Zeo 랜섬웨어는 현대의 갈취 활동이 얼마나 정교해졌는지를 보여주는 대표적인 사례입니다.

친숙한 뿌리를 가진 새로운 변종

Zeo는 정기적인 위협 모니터링 과정에서 발견되었으며, 오랫동안 활동해 온 Dharma 랜섬웨어 계열과 빠르게 연관되었습니다. 시스템에 침투하면 데이터를 암호화하고 파일 이름에 피해자 ID, 공격자의 이메일 주소, 그리고 '.zeo' 확장자를 추가하여 변경합니다. 대표적인 예로 '1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo'와 같이 변형된 파일을 들 수 있습니다.

암호화 단계 후, Zeo는 두 개의 몸값 요구 메시지를 제공합니다. 하나는 확장된 지침이 포함된 팝업 창이고, 다른 하나는 'info.txt'라는 일반 텍스트 파일입니다. 두 메시지 모두 접근 권한을 복구할 수 있는 유일한 방법은 공격자에게 연락하여 비트코인 몸값을 지불하는 것이라고 강조합니다. 이 팝업 메시지는 제한된 무료 복호화 테스트를 제공함으로써 신뢰를 구축하는 동시에, 피해자가 파일을 수정하거나 자체 복구를 시도할 경우 돌이킬 수 없는 피해를 입힐 것이라고 위협합니다.

Zeo가 내부적으로 어떻게 작동하는지

다른 Dharma 변종과 마찬가지로 Zeo는 로컬 및 네트워크 공유 위치에 저장된 데이터 암호화에 중점을 둡니다. Zeo는 중요한 운영 체제 구성 요소를 손상시키지 않으므로 시스템 안정성이 유지됩니다. 암호화 중 오류를 방지하기 위해 데이터베이스 엔진 및 문서 뷰어와 같이 현재 열려 있는 파일에 연결된 프로세스를 종료합니다.

이 랜섬웨어는 여러 가지 행동 보호 장치를 포함하고 있습니다. 수집된 위치 데이터를 확인하여 공격 진행 여부를 결정하고, 수익성이 낮거나 정치적으로 민감한 지역은 잠재적으로 회피합니다. 또한 이중 암호화를 방지하기 위한 메커니즘도 포함되어 있지만, 제외 논리가 불완전하여 모든 랜섬웨어 유형을 포괄하지 못합니다.

지속성은 두 가지 주요 방법을 통해 달성됩니다. %LOCALAPPDATA% 디렉터리에 자신을 복사하고 특정 실행 키에 자동 시작 항목을 등록하는 것입니다. Zeo는 또한 사용자가 의존할 수 있는 기본 복구 옵션을 제거하기 위해 볼륨 섀도 복사본을 삭제합니다.

감염 벡터 및 전파 전략

다르마 기반 위협은 노출되었거나 보안이 취약한 원격 데스크톱 프로토콜 서비스를 통해 시스템에 침투하는 경우가 많습니다. 공격자는 무차별 대입 공격과 사전 공격을 통해 접근 권한을 획득하며, 감염된 시스템은 침입 직후 방화벽이 약화되거나 비활성화될 수 있습니다.

다른 유포 경로도 여전히 만연합니다. 위협 행위자들은 사기성 이메일, 악성 첨부 파일, 손상된 다운로드, 사기성 업데이트, 크랙, 불법 복제 콘텐츠 등을 이용하는 경우가 많습니다. 위험한 페이로드는 아카이브, 실행 파일, 문서, 자바스크립트 파일 등 다양한 형식으로 나타납니다. 경우에 따라 맬웨어는 동일 네트워크상의 다른 기기 또는 휴대용 저장 장치를 통해 측면 확산됩니다.

몸값을 지불하는 것이 안전한 해결책이 아닌 이유

피해자들은 최신 랜섬웨어에 감염된 파일을 복호화할 기술적 수단을 거의 가지고 있지 않습니다. 악성코드에 치명적인 결함이 없는 한, 필요한 키는 오직 운영자만 가지고 있습니다. 그러나 몸값을 지불한다고 해서 공격자가 제대로 작동하는 복호화 도구를 제공한다는 보장은 없으며, 피해자들은 돈과 데이터를 모두 잃는 경우가 많습니다. 이러한 작전에 자금을 지원하는 것은 추가적인 범죄 활동을 뒷받침하기도 합니다.

추가 피해를 방지하려면 랜섬웨어 제거가 필수적이지만, Zeo를 제거하더라도 암호화된 파일은 복원되지 않습니다. 오프라인 기기나 안전한 원격 서버 등 별도의 위치에 저장된 안전한 백업을 통해서만 복구가 가능합니다.

기기 보안 강화

다층적인 접근 방식은 랜섬웨어 감염 위험을 크게 줄입니다. 다음 조치는 장기적인 복원력을 강화하는 데 도움이 됩니다.

핵심 예방 조치

강력하고 고유한 자격 증명을 사용하고, 불필요한 경우 외부 액세스를 비활성화하고, 속도 제한 또는 다중 요소 인증을 시행하여 원격 데스크톱 프로토콜 액세스를 엄격하게 제어합니다.

운영 체제, 설치된 소프트웨어, 네트워크에 노출된 구성 요소 전반에 걸쳐 보안 업데이트를 신속하게 적용합니다.

추가 모범 사례 권장 사항

오프라인이나 변경 불가능한 저장소를 포함하여 여러 개의 격리된 위치에 안정적이고 버전이 지정된 백업을 보관합니다.

• 신뢰할 수 있는 보안 도구를 사용하여 의심스러운 활동을 모니터링하고 맬웨어가 실행되기 전에 차단하세요.
• 특히 합법적인 조직을 사칭하거나 무료 소프트웨어를 제공하는 경우, 원치 않는 이메일, 첨부 파일, 다운로드 제안에는 회의적인 태도를 가져야 합니다.
• 불법 복제 소프트웨어, 신뢰할 수 없는 다운로드 포털, 의심스러운 브라우저 기반 광고를 피하세요.
• 가능하면 관리자 권한을 제한하고 일상적인 작업은 관리자가 아닌 계정을 사용하여 수행하도록 하세요.

엄격한 시스템 위생 관리와 강력한 액세스 제어, 잘 유지 관리되는 백업을 결합함으로써 사용자는 Zeo 랜섬웨어와 같은 위협에 노출되는 것을 크게 줄이고 공격이 발생할 경우 신속하게 복구할 준비를 더 잘 갖출 수 있습니다.