Zollo ransomware

Претње злонамерног софтвера настављају да се развијају у софистицираности, чинећи заштиту уређаја кључним приоритетом за појединце и организације подједнако. Напади рансомвера, посебно, могу изазвати озбиљне оперативне поремећаје, финансијске губитке и откривање осетљивих података. Једна недавно примећена претња је Золо рансомвер, злонамерни програм дизајниран за шифровање датотека и изнуду жртава за плаћање. Разумевање како ова претња функционише и како се шири је неопходно за изградњу јаче одбране од сличних напада.

Појава Zollo Ransomware-а

Zollo Ransomware је идентификован као варијанта породице MedusaLocker ransomware-а. Као и други чланови ове породице, пројектован је да инфилтрира системе, шифрује вредне датотеке и врши притисак на жртве да плате откупнину у замену за дешифровање.

Једном када се покрене на компромитованом уређају, злонамерни софтвер скенира систем у потрази за доступним датотекама и шифрује их користећи јаке криптографске алгоритме. Након шифровања, рансомвер мења имена датотека додавањем карактеристичне екстензије као што је „.zollo6“. На пример:

• 1.png постаје 1.png.zollo6
• 2.pdf постаје 2.pdf.zollo6

Број у екстензији може да варира, али резултат остаје исти: шифроване датотеке постају недоступне кориснику. Поред закључавања датотека, ransomware мења позадину радне површине система и поставља поруку са захтевом за откуп на уређај под називом „READ_NOTE.html“.

Методе шифровања и порука о откупнини

У поруци са захтевом за откуп коју су оставили нападачи тврди се да су датотеке обезбеђене комбинацијом RSA и AES енкрипције, које су уобичајено коришћене криптографске методе у модерним операцијама ransomware-а. Према поруци, сваки покушај враћања, преименовања или модификовања шифрованих датотека може довести до трајног оштећења података.

Нападачи инсистирају да ниједан јавно доступан софтвер не може да поврати датотеке и тврде да само њихов власнички алат за дешифровање може да врати приступ. Жртвама се налаже да контактирају оператере путем наведених имејл адреса:

• recovery1@salamati.vip
• recovery1@amniyat.xyz

Порука такође уводи елемент временског притиска: жртве се упозоравају да ће се износ откупнине повећати ако се контакт не успостави у року од 72 сата.

Крађа података и тактике двоструке изнуде

Посебно забрињавајућа карактеристика ове варијанте ransomware-а је тврдња да су поверљиви подаци украдени пре шифровања. Нападачи наводе да се ове информације чувају на приватном серверу под њиховом контролом.

Према поруци са захтевом за откуп, плаћање ће резултирати брисањем украдених података са њихових сервера. Уколико се откуп не плати, оператери прете да ће објавити или продати информације. Ова стратегија, позната као двострука изнуда, повећава притисак на жртве комбиновањем шифровања података са ризиком од јавног откривања података.

Чак и када жртве испуне захтеве за откуп, нема гаранције да ће нападачи обезбедити функционалан алат за дешифровање или избрисати украдене информације. Из тог разлога, стручњаци за сајбер безбедност генерално обесхрабрују плаћање откупа.

Како се шири Zollo Ransomware

Кампање рансомвера се често ослањају на обману и друштвени инжењеринг како би се инфилтрирале у системе. Нападачи често прикривају злонамерне корисне садржаје као легитимне датотеке како би преварили кориснике да их покрену.

Уобичајени вектори инфекције укључују:

• Злонамерни прилози е-поште или линкови уграђени у фишинг е-поруке
• Лажна упозорења техничке подршке осмишљена да намаме жртве да преузму злонамерни софтвер
• Крековани софтвер, незванични генератори кључева и пиратске апликације
• Застарели софтвер са неотклоњеним рањивостима
• Компромитовани веб-сајтови, злонамерни огласи и peer-to-peer мреже за дељење датотека
• Преузимачи трећих страна или заражени УСБ дискови

Једном када се покрене, ransomware одмах почиње да шифрује датотеке и може покушати да се прошири на повезане системе унутар исте мреже.

Изазови опоравка и реаговање на инциденте

Након што се деси шифровање, жртве обично не могу да отворе погођене датотеке без кључа за дешифровање нападача. Опоравак постаје могућ само у одређеним околностима, а посебно када постоје безбедне резервне копије које нису биле повезане са зараженим системом током напада.

Од суштинског је значаја одмах уклањање ransomware-а након откривања. Ако малвер остане активан на уређају, може наставити да шифрује додатне датотеке или покушати да се прошири на друге машине на мрежи. Брза изолација зараженог система стога може ограничити штету и спречити даље ширење.

Основне безбедносне праксе за спречавање ransomware-а

Јаке безбедносне навике значајно смањују вероватноћу инфекције претњама као што је Zollo Ransomware. Ефикасна заштита захтева комбинацију проактивних техничких контрола и опрезног понашања корисника.

Редовно ажурирање оперативних система, апликација и безбедносних алата је кључно, јер многе кампање ransomware-а искоришћавају рањивости у застарелом софтверу. Подједнако је важна употреба поузданих антивирусних или решења за заштиту крајњих тачака способних да открију сумњиво понашање.

Одржавање резервних копија ван мреже или у облаку једна је од најефикаснијих мера заштите. Резервне копије треба чувати одвојено од примарног система како не би могле бити шифроване током напада. У случају инфекције, чисте резервне копије могу омогућити враћање система без плаћања откупнине.

Корисници би такође требало да са опрезом приступају прилозима е-поште и преузимањима. Сумњиве датотеке, посебно оне које захтевају хитну акцију или хитну акцију, треба проверити пре отварања. Организације често јачају ову одбрану филтрирањем е-поште, тестирањем прилога и обуком о безбедности.

Сегментација мреже може додатно смањити ризик ограничавањем колико далеко се ransomware може проширити након што уђе у окружење. У комбинацији са контролама приступа и системима за праћење, сегментација помаже у сузбијању инфекција пре него што утичу на критичну инфраструктуру.

Завршне мисли

Претње рансомвера, попут Золо рансомвера, истичу важност проактивних мера сајбер безбедности. Шифровањем датотека, претњама од откривања података и притиском на жртве временски ограниченим захтевима за откуп, нападачи циљају да принуде брза плаћања.

Слојевита стратегија одбране, која комбинује ажурирања система, поуздане резервне копије, безбедносни софтвер и опрезне корисничке праксе, остаје најефикаснији начин за ублажавање ових претњи. Рано откривање и брз одговор могу драматично смањити утицај инцидената са ransomware-ом и заштитити вредне податке од неповратног губитка.