Ransomware-ээс хэрхэн хамгаалах вэ?

Энэ хэсэгт компьютерээ ransomware (золиос нэхэгч хортой программ)-ээс хэрхэн хамгаалахыг үзүүлнэ.

Ransomware нь халдагчид мөнгө төлөх хүртэл компьютерт хандах эрхийг хаах зорилгоор бүтээсэн хортой программ юм. Хамгийн алдартай жишээнд CryptoLocker, CryptoWall, WannaCry, Petya орно.

Шифрлэдэг ransomware-ийн хувьд ихэвчлэн халдвар авсан компьютертэй холбоотой санамсаргүйгээр үүсгэсэн түлхүүрийн хослолоор локал файлуудыг шифрлэдэг. Нийтийн түлхүүрийг (public key) халдвартай компьютер дээр хуулж үлдээх бол хувийн түлхүүрийг (private key) заасан хугацаанд мөнгө төлж байж л авах боломжтой. Төлбөр төлөхгүй бол хувийн түлхүүрийг устгана гэж заналхийлдэг бөгөөд тэгвэл түгжигдсэн файлуудыг сэргээх шифр тайлах ямар ч арга үлдэхгүй.

Хамгийн түгээмэл халдварын аргуудын нэг нь хууль ёсны вэбсайт дээрх халдвартай сурталчилгаагаар дамжсан drive-by халдлага юм. Мөн татаж авсан халдвартай аппликейшнээр дамжин халдвар авах тохиолдол бий.

Ransomware-ийн халдварыг хязгаарлаж, заримдаа урьдчилан сэргийлэхэд дараах сайн туршлагууд тусална:

• Байнга шинэчлэгддэг, идэвхтэй шалгалт хийх чадвартай вирусийн эсрэг шийдэл ашиглана.

• Өгөгдөл гэмтсэн үед сэргээж болохоор файлын нөөцлөлтийг (backup) локал эсвэл үүлэнд хуваарьтайгаар хийнэ.

• Интернетийг аюулгүй ашиглана: эргэлзээтэй вэбсайтад орохгүй, эргэлзээтэй эх сурвалжаас ирсэн и-мэйлийн холбоос дээр дарахгүй, хавсралт нээхгүй, олон нийтийн чат болон форумд хувийн мэдээллээ бичихгүй.

• Сурталчилгаа хаагч (ad-blocking) болон спамын шүүлтүүрийг нэвтрүүлж, идэвхжүүлнэ.

• Flash-ийг виртуалчилах эсвэл бүрэн идэвхгүй болгоно. Учир нь Flash халдварын суваг болж олон удаа ашиглагдсан.

• Ажилтнуудыг social engineering оролдлого болон spear-phishing и-мэйлийг таних чиглэлээр сургана.

• Software restriction policies-ийг идэвхжүүлнэ. Системийн администраторууд тодорхой байршлаас executable ажиллахыг хаахын тулд group policy object-уудыг registry-д хэрэгжүүлэх ёстой. Үүнийг зөвхөн Windows Professional эсвэл Windows Server хувилбар дээр хийж болно. Software Restriction Policies сонголтыг Local Security Policy editor-оос олно. Additional Rules хэсгийн New Software Restriction Policies товчийг дарсны дараа дараах Path Rules-ийг Disallowed Security Level-ээр ашиглана:

```
- "%username%\\Appdata\\Roaming\\*.exe"
- "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\\.*exe"
- C:\\\*.exe
- "%temp%\\*.exe"
- "%userprofile%\\Start Menu\\Programs\\Startup\\*.exe”
- "%userprofile%\\*.exe”
- "%username%\\Appdata\\*.exe”
- "%username%\\Appdata\\Local\\*.exe”
- "%username%\\Application Data\\*.exe”
- "%username%\\Application Data\\Microsoft\\*.exe”
- "%username%\\Local Settings\\Application Data\\*.exe”
```

• Гаднаас хандах боломжтой сүлжээний системүүдийг WAN IP хаяг дээр port scan хийж тодорхойлно. Эдгээр нээлттэй портууд дээр port forwarding хийж буй системүүдийг тодорхойлно.

• Дараах сүлжээний протоколуудыг хамгаална:

- SSH: Root эрх олгохгүй, хэрэглэгчийн нэрээр биш сертификатаар нэвтрүүлнэ. SSH-д зөвхөн нэг-хоёр админ хандах эрхтэй байна.

- FTP: Эмзэг байдалтай FTP серверээс зайлсхийнэ. Anonymous хэрэглэгчээр, нууц үггүйгээр нэвтрэхээс зайлсхийнэ.

- RDP болон SMB: Admin эсвэл Administrator зэрэг стандарт хэрэглэгчийн дансыг идэвхгүй болгоно. Холболтыг цөөн тооны хэрэглэгчид л зөвшөөрнө.

- VNC: Алсын ширээний холболтод VNC бүү ашигла.

- HTTP:

- Сул эсвэл стандарт нэвтрэх мэдээлэл бүү ашигла.
- Суулгасан вэб үйлчилгээнүүдийг (Django, Python, Java, PHP, WordPress) эмзэг байдлын хувьд байнга шалгана.
- Хэрэглэгчид таны сайтын ямар ч хэсгийг өөрчлөх эрхгүй байгаа эсэхийг шалгана.

• IoT төхөөрөмж болон бусад сүлжээний төхөөрөмжүүдийг (CCTV камер, NAS сервер, router) сул нууц үг, эмзэг эсвэл хуучирсан программ хангамж, эмзэг сүлжээний протокол зэрэг эмзэг байдлын хувьд шалгана.

• Үйлдлийн систем зэрэг компанийнхаа бүх хэсэгт Two-Factor Authentication (2FA)-г заавал мөрдүүлнэ.

• Сүлжээний лог дахь гаднаас орж ирэх холболтыг байнга хянаж, тэдгээр IP-г галт ханандаа (firewall) хаана.

• Хэрэглэгчид зөвхөн өөрт хэрэгтэй нөөцөд хандах эрхтэй байна. Нөөцөд бичих эрх олгохдоо ялангуяа болгоомжтой хандана.

• Сүлжээний хуваалцсан хавтаст хандах эрхийг бизнесийн хэрэгцээгээр хязгаарлана.

• Administrative shares-ийг идэвхгүй болгоно.

• Сүлжээний администраторууд CPU-ийн ачаалал өндөр байх зэрэг сэжигтэй үйлдлийг системүүд дээр бодит цагт хянана.

• Хэрэглэгчид системийн лог эсвэл системийн нөөц хуулбарыг устгахаас сэргийлэхийн тулд wevtutil.exe болон vssadmin-д хандахыг хаана.

Ransomware-ийн эсрэг урьдчилсан арга хэмжээг хэрэгжүүлэх

Орчин үеийн аюулаас хамгаалахын тулд GravityZone > Policies-д Block, Deny эсвэл Disinfect зэрэг урьдчилсан арга хэмжээг хэрэгжүүлнэ.

Доор идэвхжүүлэх ёстой модулиудын жагсаалт байна. Зарим модуль, функц бодлогод анхдагчаар идэвхгүй байдаг тул эдгээр модулийг гараар идэвхжүүлж, тохиргоогоо хадгалахаа мартуузай.

1. 1Antimalware > On-Execute хэсэгт очиж дараах алхмуудыг хийнэ:

1. Cloud-based threat detection, Advanced Threat Control, Fileless Attack Protection болон Ransomware Mitigation модулиудыг идэвхжүүлнэ.
2. Anti-Tampering хэсэгт анхдагч үйлдлийг Deny Access болгоно.
3. Hyper Detect хэсэгт Actions-ийг Report Only-оос өөр сонголт болгосон эсэхийг шалгана.

2. 2Sandbox Analyzer хэсэгт очиж Automatic sample submission from managed endpoints-ийг идэвхжүүлнэ.

1. Remediation Actions хэсэгт Default action унждаг жагсаалтад Remediate эсвэл Move to quarantine сонгосон эсэхийг шалгана.

3. 3Firewall модулийг идэвхжүүлнэ.

4. 4Network Protection хэсэгт очиж дараах алхмуудыг хийнэ:

1. General хэсэгт Intercept Encrypted Traffic, Scan HTTPS болон Scan RDP сонголтуудыг идэвхжүүлнэ.
2. Web Protection хэсгийн Antiphishing модульд очиж Default action for suspicious webpages-ийг Block болгоно.
3. Web traffic Scan хэсгийг идэвхжүүлнэ.
4. Network Attacks хэсгийн ATT&CK Techniques-д очиж бүх үйлдлийг Block болгоно.

5. 5Incidents Sensor модулийг идэвхжүүлнэ.

Ransomware халдвар авсан үед Bitdefender Enterprise Support-д хандах

Ransomware халдлагын дараа файлаа сэргээхэд тусламж хэрэгтэй бол Bitdefender Enterprise Support-д хандаж болно.

Bitdefender шинжилгээ хийж, ransomware-ийн төрлийг тодорхойлоод шифр тайлах хэрэгсэл (decryption tool) гаргаж өгөхийг оролдоно.

Ransomware-ийн тодорхой дэд төрөлд зориулсан шифр тайлах хэрэгсэл боловсруулах нь ихэвчлэн урт хугацаа шаардсан, амжилтын магадлал багатай ажил гэдгийг анхаарна уу. Гэхдээ амжилттай бүтээвэл Bitdefender Labs хуудсанд шууд нийтлэх болно.

Шинжилгээг аль болох хурдан, зөв явуулахын тулд дараах мэдээллийг өгнө үү:

• BDSysLog. Bitdefender System Log-ыг хэрхэн үүсгэхийг эндээс үзнэ үү.
• Support Tool log. Support Tool Log-ыг хэрхэн үүсгэхийг эндээс үзнэ үү.
• Шифрлэлтийн дараа үүссэн золиосны мэдэгдэл (ransom note). Ихэвчлэн .txt файл байдаг.
• Windows Event logs. Эдгээр логийг C:\Windows\System32\Winevt\Logs дотор олно.
• Шифрлэгдсэн хэдэн дээж. Боломжтой бол шифрлэгдсэн болон шифрлэгдээгүй файлын хос.
• Халдлага болсон ойролцоо огноо, цаг.
• Халдлагатай холбоотой гэж үзсэн бусад мэдээлэл.

Зөвлөмж

Манай Antimalware баг шифрлэгдсэн файлуудыг сэргээх ажлыг хийж байх хугацаанд та дэд бүтцийнхээ системүүдийг нөөц хуулбараас сэргээх хэрэгтэй.

Халдлагад өртмөгц дараах яаралтай арга хэмжээг авна:

• Хэрэглэгчдийн нууц үгийг солино.
• Шаардлагагүй админ дансыг админ бус данс болгоно.
• Administrative shares-ийг идэвхгүй болгоно.
• RDP хандалтыг зөвхөн алсаас хандах шаардлагатай төхөөрөмжид зөвшөөрнө.

Бид шифрлэгдсэн файлуудыг сэргээж чадвал та дараахын аль нэгийг хийх хэрэгтэй:

• Шифр тайлагч (decryptor) ажиллахын тулд шифрлэгдсэн файл болон золиосны мэдэгдлийг анхны байрлалд нь үлдээсэн хэвээр дэд бүтцээ бүхэлд нь сэргээнэ.

эсвэл

• Шифрлэгдсэн файл болон золиосны мэдэгдлийг нөөцлөлт рүү зөөж, үйлдлийн системийг сэргээнэ. Ингэснээр бид decryptor-ыг тэнд ажиллуулах боломжтой болно.

Харамсалтай нь шифрлэгдсэн файлуудыг сэргээж чадахгүй тохиолдолд системийн дэд бүтцээ нөөц хуулбараас сэргээх хэрэгтэй.

Ransomware халдлагад өртсөн үед авч болох бусад арга хэмжээ

• Сүлжээн дэх виртуал машин (VM) халдвар авсан, халдлага үргэлжилж байвал тухайн VM-ийг тусгаарлах, түр зогсоох (suspend), унтраах эсвэл хэрэглэгчийг хүчээр гаргах хэрэгтэй.

• Ransomware халдлагын онцлог үйлдлүүдэд анхаарна. Ransomware процесс CPU-ийн нөөцийг ихээр зарцуулдаг.

• Сүлжээн дэх хэрэглэгчдэд анхаарна. Халдагчийн дүр эсгэсэн хэрэглэгч ер бусын үйлдэл хийх болно.

• Ransomware-ээс хамгаалах аппликейшнтэй зэрэгцэн ажиллах тусгай аппликейшн ашиглана. Энэ аппликейшн дараах зүйлийг хийнэ:

- Процесс CPU-ийн нөөцийг ихээр (>70%) зарцуулж байвал системийг унтраана.
- CPU-ийн хэт ачааллын талаар IT админд мэдэгдэл илгээнэ. Мэдэгдэлд нэмэлт нөөц ашиглаж буй аппликейшний нэр болон нөөц ашигласан виртуал машины нэр орсон байна.
- Бүтээгдэхүүн таны орчныг хамгаалахаа больсон үед (тухайн машин дээр ажиллахаа больсон — аюулгүй байдлын агуулгын сүүлийн шинэчлэл 2 цагаас илүү хугацааны өмнөх эсвэл үндсэн процесс epsecurityservice.exe ажиллахгүй байгаа) системийг унтраана.
- Тогтмол хэрэглэдэг цөөн аппликейшнээс бусад аппликейшнийг ажиллуулахыг хориглоно.