แรนซัมแวร์ Zeo

การปกป้องระบบส่วนบุคคลและธุรกิจจากมัลแวร์ที่เป็นอันตรายเป็นสิ่งสำคัญอย่างยิ่ง เนื่องจากการบุกรุกเพียงครั้งเดียวอาจนำไปสู่ผลกระทบระยะยาว แรนซัมแวร์ยังคงเป็นหนึ่งในภัยคุกคามที่สร้างความเสียหายมากที่สุดในปัจจุบัน และแรนซัมแวร์ Zeo เป็นตัวอย่างชั้นยอดของความซับซ้อนในปฏิบัติการรีดไถสมัยใหม่

สายพันธุ์ใหม่ที่มีรากฐานที่คุ้นเคย

Zeo เกิดขึ้นระหว่างการเฝ้าระวังภัยคุกคามตามปกติ และถูกเชื่อมโยงอย่างรวดเร็วกับแรนซัมแวร์ตระกูล Dharma ที่แพร่ระบาดมายาวนาน เมื่อเจาะระบบได้สำเร็จ มันจะเข้ารหัสข้อมูลและเปลี่ยนชื่อไฟล์โดยการเพิ่ม ID เฉพาะของเหยื่อ ที่อยู่อีเมลของผู้โจมตี และนามสกุลไฟล์ '.zeo' ตัวอย่างทั่วไปคือไฟล์ที่ถูกแปลงแล้ว เช่น '1.png.id-9ECFA84E.[nudasurg@tuta.io].zeo'

หลังจากขั้นตอนการเข้ารหัส Zeo ได้ส่งบันทึกเรียกค่าไถ่สองฉบับ ได้แก่ หน้าต่างป๊อปอัปพร้อมคำแนะนำเพิ่มเติม และไฟล์ข้อความธรรมดาชื่อ 'info.txt' ทั้งสองฉบับเน้นย้ำว่าวิธีเดียวที่จะกู้คืนการเข้าถึงได้คือการติดต่อผู้โจมตีและจ่ายค่าไถ่เป็นบิตคอยน์ ข้อความป๊อปอัปนี้พยายามสร้างความไว้วางใจโดยเสนอการทดสอบการถอดรหัสฟรีแบบจำกัด พร้อมกับขู่ว่าจะเกิดความเสียหายที่ไม่สามารถย้อนกลับได้ หากเหยื่อแก้ไขไฟล์หรือพยายามกู้คืนด้วยตนเอง

Zeo ทำงานอย่างไรภายใต้ประทุน

เช่นเดียวกับ Dharma รุ่นอื่นๆ Zeo มุ่งเน้นไปที่การเข้ารหัสข้อมูลที่จัดเก็บไว้ทั้งภายในเครื่องและบนเครือข่ายที่ใช้ร่วมกัน ระบบยังคงรักษาเสถียรภาพไว้ได้ เนื่องจาก Zeo หลีกเลี่ยงการแทรกแซงส่วนประกอบสำคัญของระบบปฏิบัติการ เพื่อป้องกันข้อผิดพลาดระหว่างการเข้ารหัส Zeo จะยุติกระบวนการที่เชื่อมโยงกับไฟล์ที่เปิดอยู่ เช่น โปรแกรมฐานข้อมูลและโปรแกรมดูเอกสาร

แรนซัมแวร์มีมาตรการป้องกันพฤติกรรมหลายอย่าง โดยจะตรวจสอบข้อมูลตำแหน่งทางภูมิศาสตร์ที่เก็บรวบรวมไว้ เพื่อพิจารณาว่าจะดำเนินการโจมตีต่อไปหรือไม่ ซึ่งอาจหลีกเลี่ยงพื้นที่ที่อาจสร้างผลกำไรหรือมีความอ่อนไหวทางการเมือง นอกจากนี้ ยังมีกลไกที่ออกแบบมาเพื่อป้องกันการเข้ารหัสซ้ำซ้อน แม้ว่าตรรกะการยกเว้นจะไม่สมบูรณ์และไม่ได้ครอบคลุมแรนซัมแวร์ทุกตระกูล

การคงอยู่ทำได้ด้วยสองวิธีหลัก ได้แก่ การคัดลอกตัวเองลงในไดเร็กทอรี %LOCALAPPDATA% และการลงทะเบียนรายการเริ่มต้นอัตโนมัติภายใต้คีย์ Run เฉพาะ Zeo ยังลบ Volume Shadow Copies เพื่อลบตัวเลือกการกู้คืนในตัวที่ผู้ใช้อาจใช้

เวกเตอร์การติดเชื้อและกลยุทธ์การแพร่กระจาย

ภัยคุกคามจากธรรมะมักแทรกซึมเข้าระบบผ่านบริการ Remote Desktop Protocol ที่ถูกเปิดเผยหรือมีการรักษาความปลอดภัยไม่ดี ผู้โจมตีอาศัยการโจมตีแบบบรูทฟอร์ซและพจนานุกรมเพื่อเข้าถึงระบบ และระบบที่ถูกบุกรุกอาจถูกลดระดับไฟร์วอลล์หรือปิดใช้งานหลังจากถูกบุกรุกไม่นาน

เส้นทางการแพร่กระจายอื่นๆ ยังคงแพร่หลายอยู่ ผู้ก่อภัยคุกคามมักอาศัยอีเมลหลอกลวง ไฟล์แนบที่เป็นอันตราย ไฟล์ดาวน์โหลดที่ถูกบุกรุก การอัปเดตที่ฉ้อโกง แคร็ก และเนื้อหาละเมิดลิขสิทธิ์ เพย์โหลดที่เป็นอันตรายมักปรากฏในหลายรูปแบบ เช่น ไฟล์เก็บถาวร ไฟล์ปฏิบัติการ เอกสาร ไฟล์ JavaScript และอื่นๆ ในบางกรณี มัลแวร์อาจแพร่กระจายไปยังอุปกรณ์อื่นๆ บนเครือข่ายเดียวกันหรือผ่านอุปกรณ์จัดเก็บข้อมูลแบบพกพา

เหตุใดการจ่ายค่าไถ่จึงไม่ใช่ทางออกที่ปลอดภัย

เหยื่อมักไม่มีวิธีการทางเทคนิคในการถอดรหัสไฟล์ที่ได้รับผลกระทบจากแรนซัมแวร์สมัยใหม่ เว้นแต่มัลแวร์จะมีข้อบกพร่องร้ายแรง มีเพียงผู้ปฏิบัติการเท่านั้นที่มีคีย์ที่จำเป็น อย่างไรก็ตาม การจ่ายค่าไถ่ไม่ได้รับประกันว่าผู้โจมตีจะส่งมอบเครื่องมือถอดรหัสที่ใช้งานได้ และเหยื่อมักจะสูญเสียทั้งเงินและข้อมูล การให้ทุนสนับสนุนการดำเนินการดังกล่าวยังทำให้เกิดอาชญากรรมเพิ่มขึ้นอีกด้วย

การกำจัดแรนซัมแวร์เป็นสิ่งจำเป็นเพื่อป้องกันความเสียหายเพิ่มเติม แต่การลบ Zeo จะไม่สามารถกู้คืนไฟล์ที่เข้ารหัสได้ การกู้คืนสามารถทำได้ผ่านการสำรองข้อมูลแบบสะอาดที่จัดเก็บไว้ในตำแหน่งแยกต่างหาก เช่น อุปกรณ์ที่ออฟไลน์ หรือเซิร์ฟเวอร์ระยะไกลที่ปลอดภัย

การเสริมสร้างความปลอดภัยของอุปกรณ์

แนวทางแบบหลายชั้นช่วยลดความเสี่ยงจากการถูกโจมตีจากแรนซัมแวร์ได้อย่างมาก แนวทางปฏิบัติต่อไปนี้จะช่วยเสริมสร้างความยืดหยุ่นในระยะยาว:

มาตรการป้องกันหลัก

รักษาการควบคุมที่เข้มงวดต่อการเข้าถึงโปรโตคอลเดสก์ท็อประยะไกลโดยใช้ข้อมูลประจำตัวที่แข็งแกร่งและไม่ซ้ำกัน ปิดการเข้าถึงจากภายนอกเมื่อไม่จำเป็น และบังคับใช้การจำกัดอัตราหรือการตรวจสอบปัจจัยหลายประการ

ใช้การอัปเดตความปลอดภัยทันทีในระบบปฏิบัติการ ซอฟต์แวร์ที่ติดตั้ง และส่วนประกอบที่เปิดเผยบนเครือข่าย

คำแนะนำการปฏิบัติที่ดีเพิ่มเติม

เก็บสำรองข้อมูลที่เชื่อถือได้และมีเวอร์ชันต่างๆ ไว้ในตำแหน่งแยกกันหลายแห่ง รวมถึงที่เก็บข้อมูลแบบออฟไลน์หรือแบบไม่เปลี่ยนแปลง

• ใช้เครื่องมือรักษาความปลอดภัยที่มีชื่อเสียงเพื่อตรวจสอบกิจกรรมที่น่าสงสัยและบล็อกมัลแวร์ก่อนดำเนินการ
• พิจารณาอีเมล ไฟล์แนบ และข้อเสนอการดาวน์โหลดที่ไม่ได้ร้องขอด้วยความสงสัย โดยเฉพาะอีเมลที่แอบอ้างเป็นองค์กรที่ถูกกฎหมายหรือเสนอซอฟต์แวร์ฟรี
• หลีกเลี่ยงซอฟต์แวร์ละเมิดลิขสิทธิ์ พอร์ทัลดาวน์โหลดที่ไม่น่าเชื่อถือ และโฆษณาบนเบราว์เซอร์ที่น่าสงสัย
• จำกัดสิทธิ์การดูแลระบบเมื่อใดก็ตามที่เป็นไปได้ และตรวจสอบให้แน่ใจว่างานประจำวันจะดำเนินการโดยใช้บัญชีที่ไม่ใช่ของผู้ดูแลระบบ

การผสมผสานระบบที่มีระเบียบวินัยเข้ากับการควบคุมการเข้าถึงที่แข็งแกร่งและการสำรองข้อมูลที่ได้รับการดูแลอย่างดี ช่วยให้ผู้ใช้ลดความเสี่ยงต่อภัยคุกคาม เช่น Zeo Ransomware ได้อย่างมาก และเตรียมพร้อมที่จะกู้คืนได้อย่างรวดเร็วหากเกิดการโจมตี