Zeo izspiedējvīruss

Personīgo un uzņēmumu sistēmu aizsardzība pret postošu ļaunprogrammatūru ir būtiska, jo pat viens apdraudējums var radīt ilgstošas sekas. Izspiedējvīrusi joprojām ir viens no postošākajiem draudiem apritē, un Zeo izspiedējvīrusi ir spilgts piemērs tam, cik sarežģītas ir mūsdienu izspiešanas operācijas.

Jauns variants ar pazīstamām saknēm

Zeo parādījās regulāras apdraudējumu uzraudzības laikā un tika ātri saistīts ar ilgstošo Dharma izspiedējvīrusu saimi. Kad tas ielaužas sistēmā, tas šifrē datus un maina failu nosaukumus, pievienojot upurim specifisku ID, uzbrucēju e-pasta adresi un paplašinājumu “.zeo”. Tipisks piemērs ir pārveidots fails, piemēram, “1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo”.

Pēc šifrēšanas fāzes Zeo nosūta divus izpirkuma pieprasījuma paziņojumus: uznirstošo logu ar paplašinātiem norādījumiem un vienkārša teksta failu ar nosaukumu “info.txt”. Abos uzsvērts, ka vienīgais veids, kā atjaunot piekļuvi, ir sazināties ar uzbrucējiem un samaksāt Bitcoin izpirkuma maksu. Uznirstošais ziņojums mēģina veidot uzticību, piedāvājot ierobežotu bezmaksas atšifrēšanas testu, vienlaikus draudot ar neatgriezeniskiem bojājumiem, ja upuri modificēs failus vai mēģinās patstāvīgi atjaunot datus.

Kā Zeo darbojas zem pārsega

Tāpat kā citi Dharma varianti, Zeo koncentrējas uz datu šifrēšanu, kas tiek glabāti gan lokāli, gan tīklā koplietotās vietās. Sistēmas stabilitāte tiek saglabāta, jo Zeo izvairās no kritisku operētājsistēmas komponentu manipulācijām. Lai novērstu kļūdas šifrēšanas laikā, tas pārtrauc procesus, kas saistīti ar pašlaik atvērtiem failiem, piemēram, datubāzes dzinējus un dokumentu skatītājus.

Izspiedējvīruss ietver vairākus uzvedības drošības pasākumus. Tas pārbauda apkopotos ģeolokācijas datus, lai noteiktu, vai turpināt uzbrukumus, potenciāli izvairoties no reģioniem, kas varētu būt nerentabli vai politiski jutīgi. Tas ietver arī mehānismu, kas paredzēts dubultās šifrēšanas novēršanai, lai gan izslēgšanas loģika ir nepilnīga un neņem vērā visas izspiedējvīrusu saimes.

Noturība tiek panākta, izmantojot divas galvenās metodes: kopējot sevi direktorijā %LOCALAPPDATA% un reģistrējot automātiskās palaišanas ierakstus noteiktās palaišanas atslēgās. Zeo papildus dzēš sējuma ēnkopijas, lai noņemtu iebūvētās atkopšanas opcijas, uz kurām lietotāji citādi varētu paļauties.

Infekcijas vektori un izplatīšanās taktika

Dharmas apdraudējumi bieži iefiltrējas sistēmās, izmantojot neaizsargātus vai slikti nodrošinātus attālās darbvirsmas protokola pakalpojumus. Uzbrucēji piekļuves iegūšanai izmanto brutāla spēka un vārdnīcas uzbrukumus, un apdraudētās sistēmās neilgi pēc ielaušanās ugunsmūri var tikt vājināti vai atspējoti.

Citi izplatīšanas ceļi joprojām ir izplatīti. Draudu izpildītāji bieži izmanto maldinošus e-pastus, ļaunprātīgus pielikumus, kompromitētas lejupielādes, krāpnieciskus atjauninājumus, plaisas un pirātisku saturu. Bīstamie dati parādās dažādos formātos, tostarp arhīvos, izpildāmos failos, dokumentos, JavaScript failos un citur. Dažos gadījumos ļaunprogrammatūra izplatās laterāli uz citām ierīcēm tajā pašā tīklā vai caur pārnēsājamu krātuvi.

Kāpēc izpirkuma maksas maksāšana nav drošs risinājums

Cietušajiem reti ir tehniski līdzekļi, lai atšifrētu failus, kurus skārusi mūsdienu izspiedējvīrusa programmatūra. Ja vien ļaunprogrammatūra nesatur kritisku trūkumu, tikai operatoriem ir nepieciešamās atslēgas. Tomēr izpirkuma maksas samaksa negarantē, ka uzbrucēji piegādās funkcionējošu atšifrētāju, un upuri bieži zaudē gan savu naudu, gan datus. Šādu operāciju finansēšana arī atbalsta turpmāku noziedzīgu darbību.

Izspiedējvīrusa noņemšana ir nepieciešama, lai novērstu turpmākus bojājumus, taču Zeo noņemšana neatjauno šifrētus failus. Atgūšana ir iespējama tikai ar tīrām dublējumkopijām, kas tiek glabātas atsevišķās vietās, piemēram, bezsaistes ierīcēs vai drošos attālos serveros.

Ierīces drošības stiprināšana

Slāņveida pieeja ievērojami samazina izspiedējvīrusu apdraudējuma risku. Šādas prakses palīdz stiprināt ilgtermiņa noturību:

Galvenie preventīvie pasākumi

Saglabājiet stingru kontroli pār attālās darbvirsmas protokola piekļuvi, izmantojot spēcīgus, unikālus akreditācijas datus, atspējojot ārējo piekļuvi, ja tā nav nepieciešama, un ieviešot ātruma ierobežošanas vai daudzfaktoru autentifikāciju.

Nekavējoties lietojiet drošības atjauninājumus visai operētājsistēmai, instalētajai programmatūrai un tīklam pakļautajām sastāvdaļām.

Papildu ieteikumi paraugprakses jomā

Saglabājiet uzticamas, versijām nodrošinātas dublējumkopijas vairākās izolētās vietās, tostarp bezsaistes vai nemaināmā krātuvē.

• Izmantojiet uzticamus drošības rīkus, lai uzraudzītu aizdomīgas darbības un bloķētu ļaunprogrammatūru pirms tās izpildes.
• Uz nevēlamiem e-pastiem, pielikumiem un lejupielādes piedāvājumiem izturieties skeptiski, īpaši tiem, kas uzdodas par likumīgām organizācijām vai piedāvā bezmaksas programmatūru.
• Izvairieties no pirātiskas programmatūras, neuzticamiem lejupielādes portāliem un apšaubāmām pārlūkprogrammā balstītām reklāmām.
• Ierobežojiet administratora privilēģijas, kad vien iespējams, un nodrošiniet, lai ikdienas uzdevumi tiktu veikti, izmantojot kontus, kas nav administratori.

Apvienojot disciplinētu sistēmas higiēnu ar stabilām piekļuves kontrolēm un labi uzturētām dublējumkopijām, lietotāji ievērojami samazina savu pakļautību tādiem draudiem kā Zeo Ransomware un ir labāk sagatavoti ātrai atkopšanai uzbrukuma gadījumā.