Zeo išpirkos reikalaujanti programa

Asmeninių ir verslo sistemų apsauga nuo žalingos kenkėjiškos programinės įrangos yra būtina, nes vienas įsilaužimas gali sukelti ilgalaikių pasekmių. Išpirkos reikalaujanti programinė įranga išlieka viena iš labiausiai kenkiančių grėsmių, o „Zeo Ransomware“ yra puikus šiuolaikinių turto prievartavimo operacijų rafinuotumo pavyzdys.

Naujas variantas su pažįstamomis šaknimis

„Zeo“ pasirodė atliekant įprastinį grėsmių stebėjimą ir buvo greitai susietas su ilgai veikiančia „Dharma“ išpirkos reikalaujančių programų šeima. Kai tik ši virusas įsilaužia į sistemą, jis užšifruoja duomenis ir pakeičia failų pavadinimus, pridėdamas aukos ID, užpuoliko el. pašto adresą ir „.zeo“ plėtinį. Tipiškas pavyzdys yra transformuotas failas, pvz., „1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo“.

Po šifravimo etapo „Zeo“ pateikia du išpirkos reikalaujančius pranešimus: iššokantįjį langą su išsamiomis instrukcijomis ir paprasto teksto failą pavadinimu „info.txt“. Abiejuose pabrėžiama, kad vienintelis būdas atkurti prieigą – susisiekti su užpuolikais ir sumokėti bitkoinų išpirką. Iššokančiajame pranešime bandoma sukurti pasitikėjimą, siūlant ribotą nemokamą iššifravimo testą, kartu grasinant negrįžtama žala, jei aukos pakeis failus arba bandys atkurti duomenis savarankiškai.

Kaip „Zeo“ veikia po gaubtu

Kaip ir kiti „Dharma“ variantai, „Zeo“ daugiausia dėmesio skiria duomenų, saugomų tiek lokaliai, tiek bendrai naudojamuose tinklo įrenginiuose, šifravimui. Sistemos stabilumas išlieka, nes „Zeo“ vengia keisti svarbius operacinės sistemos komponentus. Siekiant išvengti klaidų šifravimo metu, ji nutraukia procesus, susietus su šiuo metu atidarytais failais, pvz., duomenų bazių variklius ir dokumentų peržiūros programas.

Išpirkos reikalaujanti programa turi keletą elgsenos apsaugos priemonių. Ji tikrina surinktus geolokacijos duomenis, kad nustatytų, ar tęsti atakas, galbūt vengdama regionų, kurie gali būti nepelningi arba politiškai jautrūs. Ji taip pat apima mechanizmą, skirtą užkirsti kelią dvigubam šifravimui, nors išskyrimo logika yra neišsami ir neatsižvelgia į visas išpirkos reikalaujančių programų šeimas.

Išlikimas pasiekiamas dviem pagrindiniais būdais: nukopijuojant save į katalogą %LOCALAPPDATA% ir registruojant automatinio paleidimo įrašus tam tikruose vykdymo raktuose. „Zeo“ taip pat ištrina šešėlines kopijas, kad pašalintų integruotas atkūrimo parinktis, kuriomis vartotojai kitaip galėtų pasikliauti.

Infekcijos vektoriai ir plitimo taktika

Dharmos pagrindu sukurtos grėsmės dažnai prasiskverbia į sistemas per pažeidžiamas arba prastai apsaugotas nuotolinio darbalaukio protokolo paslaugas. Užpuolikai, norėdami gauti prieigą, naudoja „brute-force“ ir žodynų atakas, o pažeistų sistemų užkardos gali būti susilpnintos arba išjungtos netrukus po įsilaužimo.

Kiti platinimo būdai išlieka vyraujantys. Grėsmių kūrėjai dažnai naudojasi apgaulingais el. laiškais, kenkėjiškais priedais, pažeistais atsisiuntimais, apgaulingais atnaujinimais, nulaužtomis programomis ir piratiniu turiniu. Pavojingi naudingi duomenys pateikiami įvairiais formatais, įskaitant archyvus, vykdomuosius failus, dokumentus, „JavaScript“ failus ir kt. Kai kuriais atvejais kenkėjiška programa plinta horizontaliai į kitus įrenginius tame pačiame tinkle arba per nešiojamąją atmintinę.

Kodėl išpirkos mokėjimas nėra saugus sprendimas

Aukos retai turi techninių priemonių iššifruoti šiuolaikinės išpirkos reikalaujančios programinės įrangos paveiktus failus. Jei kenkėjiška programa neturi kritinio trūkumo, tik operatoriai turi reikiamus raktus. Tačiau išpirkos sumokėjimas negarantuoja, kad užpuolikai pristatys veikiantį iššifravimo įrankį, o aukos dažnai praranda ir pinigus, ir duomenis. Tokių operacijų finansavimas taip pat remia tolesnę nusikalstamą veiklą.

Išpirkos reikalaujančios programinės įrangos pašalinimas yra būtinas siekiant išvengti tolesnės žalos, tačiau pašalinus „Zeo“ užšifruoti failai nebus atkurti. Atkurti galima tik naudojant švarias atsargines kopijas, saugomas atskirose vietose, pvz., neprisijungusiuose įrenginiuose arba saugiuose nuotoliniuose serveriuose.

Įrenginio saugumo stiprinimas

Sluoksniuotas metodas smarkiai sumažina išpirkos reikalaujančių programų atakos riziką. Šie metodai padeda sustiprinti ilgalaikį atsparumą:

Pagrindinės prevencinės priemonės

Griežtai kontroliuokite nuotolinio darbalaukio protokolo prieigą naudodami stiprius, unikalius kredencialus, išjungdami išorinę prieigą, kai to nereikia, ir vykdydami greičio ribojimo arba daugiafaktorinį autentifikavimą.

Nedelsdami diegkite saugos naujinimus visoje operacinėje sistemoje, įdiegtoje programinėje įrangoje ir tinkle veikiamuose komponentuose.

Papildomos geriausios praktikos rekomendacijos

Laikykite patikimas, versijaizuotas atsargines kopijas keliose izoliuotose vietose, įskaitant neprisijungus pasiekiamą arba nekeičiamą saugyklą.

• Naudokite patikimas saugos priemones, kad stebėtumėte įtartiną veiklą ir blokuotumėte kenkėjiškas programas prieš jas paleidžiant.
• Į nepageidaujamus el. laiškus, priedus ir atsisiuntimo pasiūlymus žiūrėkite skeptiškai, ypač į tuos, kurie apsimetinėja teisėtomis organizacijomis arba siūlo nemokamą programinę įrangą.
• Venkite piratinės programinės įrangos, nepatikimų atsisiuntimo portalų ir abejotinų naršyklėse rodomų reklamų.
• Kai tik įmanoma, apribokite administratoriaus teises ir užtikrinkite, kad kasdienės užduotys būtų atliekamos naudojant ne administratoriaus paskyras.

Derindami drausmingą sistemos higieną su patikima prieigos kontrole ir gerai prižiūrimomis atsarginėmis kopijomis, vartotojai žymiai sumažina tokių grėsmių kaip „Zeo Ransomware“ riziką ir yra geriau pasirengę greitai atsigauti atakos atveju.