Ransomware гэж юу вэ, түүнээс хэрхэн сэргийлж, өгөгдлөө сэргээх вэ?

Интернэтэд 1 тэрбумаас илүү хортой программ хохирогч хайн тэнэж байгаа ч тэдний дундаас нэг ангилал нь олон жилийн турш санхүүгийн хохирол, аюулгүй байдлын санаа зовнил учруулсаар ирсэн: Ransomware (золиос нэхэгч хортой программ). Түүний цорын ганц зорилго нь хохирогч золиос төлөх хүртэл компьютер систем эсвэл файлд хандах боломжийг хаах явдал юм. Нэхэх золиосны хэмжээ хэдэн зуун доллараас хэдэн зуун мянган доллар хүртэл маш их хэлбэлздэг.

Ransomware гэж юу вэ?

Ransomware нь тодорхой хэмжээний мөнгө төлөх хүртэл компьютер системд хандах боломжийг хаахаар бүтээгдсэн хортой программын ангилал юм. Төлбөрийг ихэвчлэн Bitcoin, Monero зэрэг криптовалютаар нэхдэг: хохирогчид эдгээр дижитал хөрөнгийг худалдаж аваад халдагчид шилжүүлэхийг шаарддаг. Сүүлийн арван жилд ransomware илүү олон хохирогчийг онилж, кибер гэмт хэрэгтнүүдэд асар их ашиг олж өгөх, мөн золиос төлөхгүй эсвэл нөөц хуулбараас сэргээхгүй бол өгөгдлийг бараг сэргээх боломжгүй болгох чиглэлээр хөгжсөн.

Шифрлэлт нь хэн нэгэн чагнахаас айлгүйгээр харилцах боломж олгодог тул онлайн нууцлалыг хангах хүчирхэг хэрэгсэл юм. Гэвч ransomware бүтээгчид үүнийг файлыг ашиглах боломжгүй болгоход ашигладаг. Зарим шифрлэлтийн механизм нь золиос төлсний дараа халдагч шифр тайлах түлхүүрийг илгээхгүй л бол өгөгдлийг сэргээх боломжгүй болгодог. Төсөөлөөд үз: хэн нэгэн таны гэрт нэвтэрч, үнэт эдлэлийг тань олоод, гэрийн тань дунд эвдэхийн аргагүй авдарт цоожлоод, золиосны захидал үлдээж түлхүүрийг нь авч явжээ. Хулгайчтай холбогдож золиос төлбөл тэр түлхүүрийг өгнө. Эс бөгөөс авдрыг эвдэж л үзэх болно. Үнэт эдлэл тань тэнд байгааг мэдэж байгаа ч ашиглаж чадахгүй. Ransomware яг үүнтэй адил ажилладаг — зөвхөн таны файл, өгөгдлийг онилдгоороо ялгаатай.

Одоогоор ransomware-ийн гурван төрөл бий:

1. Дэлгэц түгжигч (Screen lockers)

Ransomware-ийн хамгийн «зөөлөн» нь дэлгэц түгжигч юм: тэд зөвхөн ширээний дэлгэц эсвэл ухаалаг утасны нүүр дэлгэцийг хааж, хэрэглэгчийг төхөөрөмждөө хандахаас сэргийлдэг. Төвөгтэй ч техникийн хангалттай мэдлэгтэй бол халдагчид төлбөр төлөлгүйгээр тойрч гарах боломжтой.

2. Крипто ransomware (Crypto ransomware)

Зөвхөн төхөөрөмжид хандахыг хаадаг (өгөгдөл шифрлэдэггүй) анхны хувилбарууд мөнгө олоход үр дүн муутай байсан тул сүүлийн хувилбарууд шифрлэлт ашиглаж эхэлсэн — үүнийг крипто ransomware гэдэг. Крипто ransomware нь компьютерт хадгалсан тодорхой мэдээллийг, заримдаа үүлэн нөөцийг ч шифрлээд, хэдэн зуун долларын төлбөрийн хариуд тайлж өгөхийг санал болгодог тул маш «үр дүнтэй». Бидний онлайн харилцаа, банкны гүйлгээ, цэргийн холбоог хамгаалдаг технологийг ашигладаг тул шифрлэгдсэн файлыг золиос төлөхгүйгээр сэргээх боломжгүй. Крипто ransomware-ийн гэр бүлүүд жил бүр хохирогчдоос нэг тэрбум гаруй доллар дээрэмддэг. GandCrab зэрэг зарим нь хоёр жил хүрэхгүй хугацаанд 2 тэрбум гаруй долларын золиос олсон гэж үздэг.

Бусад ransomware гэр бүл айлган сүрдүүлэх өөр нэг арга хэрэглэж эхэлсэн: өгөгдлийг шифрлэхээсээ өмнө хулгайлж, золиос төлөхгүй бол олон нийтэд ичгүүрт оруулах зорилгоор интернэтэд задруулна гэж заналхийлдэг.

3. Диск шифрлэгч (Disk encryptors)

Эцэст нь ransomware-ийн хамгийн их сүйрэл учруулдаг хэлбэр нь диск шифрлэгч юм. Файл шифрлэгчээс ялгаатай нь диск шифрлэгч хатуу дискийг бүхэлд нь «барьцаалж», үйлдлийн системийг огт ачаалахгүй болгодог.

Ransomware хэрхэн тархдаг вэ?

И-мэйл бол ransomware тараах хамгийн түгээмэл арга юм. Хохирогчийг холбоос дээр дарж халдвартай файл татахад хууран мэхлэх, эсвэл CV, нэхэмжлэх зэрэг файл мэт харагдах хортой баримт хавсаргах замаар спам и-мэйлүүд ransomware-ийн халдварын томоохон хэсгийг үүсгэдэг. Хэрэглэгч мессежийг нээж хавсралт дээр дарвал шифрлэлт эхэлнэ. Бүх мэдээлэл шифрлэгдсэний дараа ширээний дэлгэц дээр анхааруулга, золиос төлж шифр тайлах түлхүүр авах заавар гарч ирнэ.

Халдагчдын хэрэглэдэг өөр нэг арга бол их хандалттай вэб сайтад сурталчилгаа худалдаж аваад, хөтөч эсвэл түүний нэмэлт (plugin)-ийн засагдаагүй эмзэг байдлыг ашиглах явдал юм. Ийм эмзэг байдлыг ашиглахад хөтөч эсвэл plugin гацаж, ransomware автоматаар суудаг. Олон хэрэглэгч хавсралт нээх, и-мэйлийн холбоос дээр дарахаас болгоомжилдог болсон тул энэ арга нь хэрэглэгчийн оролцоог шаардахгүй, засагдаагүй эмзэг байдалд л тулгуурладаг.

Мөн кибер гэмт хэрэгтнүүд торрент эсвэл «warez» сайтад байршуулсан хууль бус, хулгайн контентод ransomware нуудаг. Юу ч сэжиглээгүй хохирогч crack, түлхүүр үүсгэгч (keygen) зэрэг программ мэт харагдах ransomware-ийг татаж ажиллуулснаар түүнийг суулгачихдаг.

Компьютерээ ransomware-ийн халдлагаас хэрхэн хамгаалах вэ?

Ransomware бол кибер гэмт хэрэгтнүүдэд маш ашигтай бизнес тул тэд хохирогчийг халдварлуулах, хамгаалалтын программд илрүүлэхэд хэцүү болгох шинэ аргад байнга хөрөнгө оруулдаг. Ransomware-ээс хамгаалах хамгийн сайн арга бол анхнаасаа халдвар авахгүй байх юм. Дараах сайн дадлууд халдварыг хязгаарлаж, заримдаа бүрэн сэргийлж чадна:

1. Шинэчлэгдсэн хамгаалалтын программ ашигла

Anti-exploit, anti-malware, anti-spam модультай, байнга шинэчлэгддэг, идэвхтэй шалгалт хийдэг хортой программын эсрэг хамгаалалт ашигла. Хамгаалалтын программынхаа оновчтой тохиргоог бүү өөрчил, өдөр бүр шинэчлэгдэж байгаа эсэхийг шалга.

2. Файлаа хуваарийн дагуу нөөцлө

Чухал файл, баримтаа үүлэнд эсвэл гадаад төхөөрөмжид тогтмол нөөцлөхийг зөвлөж байна. Ransomware ихэвчлэн холбогдсон хадгалах төхөөрөмжийг хайж олоод мөн шифрлэдэг тул нөөцөө компьютерт шууд холбогдоогүй, сүлжээнд харагдахгүй төхөөрөмжид хадгалах хэрэгтэй. Ингэснээр халдвар аваад компьютер дээрх файлаа алдсан ч золиос төлөлгүйгээр нөөцөөсөө сэргээж чадна.

3. Windows-оо шинэчилж байх

Windows үйлдлийн систем болон эмзэг программууд — ялангуяа хөтөч, түүний нэмэлтүүдийг хамгийн сүүлийн аюулгүй байдлын засвараар шинэчилж байгаарай. Exploit kit-үүд эдгээрийн эмзэг байдлыг ашиглан хортой программыг автоматаар суулгадаг.

4. UAC-ийг идэвхтэй байлга

UAC (User Account Control) нь компьютерт администраторын эрх шаардсан өөрчлөлт хийгдэх гэж байхад танд мэдэгддэг. Хортой программын нөлөөг багасгах эсвэл хаахын тулд UAC-ийг асаалттай байлга.

5. Интернэтэд аюулгүй ажилла

Сэжигтэй вэб сайтад бүү зочил, итгэлгүй эх сурвалжаас ирсэн и-мэйлийн холбоос дээр бүү дар, хавсралтыг бүү нээ. Танихгүй сайтаас апп татахаас зайлсхийж, зөвхөн итгэлтэй эх сурвалжаас программ суулга. Нийтийн чат, форумд хувийн мэдээллээ бүү өг.

6. Сурталчилгаа хаагч ашигла

Хортой сурталчилгааг багасгахын тулд сурталчилгаа хаах, нууцлал хамгаалах өргөтгөл (жишээ нь Adblock Plus) идэвхжүүл. Хөтчийнхөө аюулгүй байдлын тохиргоог чангатгаж онлайн хамгаалалтаа сайжруул. Мөн JavaScript хаадаг хөтчийн өргөтгөл (жишээ нь NoScript) ашиглахыг бодолцож болно.

7. Спамын шүүлтүүр ашигла

Ирсэн хайрцагт тань хүрэх халдвартай спам и-мэйлийн тоог багасгахын тулд спамын шүүлтүүр ашигла.

8. Flash-ийг унтраа

Adobe Flash халдвар тараах суваг болж олон удаа ашиглагдсан тул боломжтой бол виртуалчлах эсвэл бүрэн унтраа.

9. Программын хязгаарлалтын бодлого (Software Restriction Policies) идэвхжүүл

Компьютер тань Windows Professional эсвэл Windows Server хувилбартай бол, эсвэл та компанийн IT багт шийдвэр гаргагч бол программын хязгаарлалтын бодлогыг идэвхжүүл. Системийн администраторууд бүлгийн бодлого (group policy)-оор тодорхой байршлаас ажиллах файлыг хааж болно.

Үүнийг зөвхөн Windows Professional эсвэл Windows Server хувилбар дээр хийх боломжтой. Software Restriction Policies тохиргоо Local Security Policy засварлагчид байдаг. Additional Rules хэсэгт New Software Restriction Policies товчийг дарсны дараа дараах Path Rule-уудыг Disallowed аюулгүй байдлын түвшинтэй нэмнэ:

"%username%\Appdata\Roaming\*.exe"
"%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\*.exe"
C:\*.exe
"%temp%\*.exe"
"%userprofile%\Start Menu\Programs\Startup\*.exe"
"%userprofile%\*.exe"
"%username%\Appdata\*.exe"
"%username%\Appdata\Local\*.exe"
"%username%\Application Data\*.exe"
"%username%\Application Data\Microsoft\*.exe"
"%username%\Local Settings\Application Data\*.exe"

Ransomware файлыг тань шифрлэвэл юу хийх вэ?

Шифрлэдэг ransomware-ийн хувьд компьютер дээрх файлуудыг ихэвчлэн тухайн компьютерт зориулж санамсаргүйгээр үүсгэсэн түлхүүрийн хосоор шифрлэдэг. Нийтийн түлхүүр халдвартай компьютер дээр хуулагддаг бол хувийн түлхүүрийг зөвхөн тогтоосон хугацаанд төлбөр төлж авах боломжтой. Төлбөр хийгдэхгүй бол хувийн түлхүүрийг устгана гэж заналхийлдэг бөгөөд ингэвэл түгжигдсэн файлыг сэргээх арга үлдэхгүй.

Эрх баригчид золиосны шаардлагад бууж өгөхгүй байхыг зөвлөдөг. Золиос төлөх нь файлаа буцааж авна гэсэн баталгаа биш бөгөөд илүү боловсронгуй шинэ ransomware хөгжүүлэх, бусад кибер гэмт хэргийг санхүүжүүлэхэд л тус болж, эцэст нь хакеруудад ашигтай болгосноор ransomware бизнесийг хууль ёсны мэт болгодог. Ransomware-ийн халдлагыг ялах хэцүү ч боломжгүй биш. Хууль сахиулах байгууллага болон аюулгүй байдлын компаниуд хохирогчдод файлаа сэргээхэд туслахаар олон жил хамтран ажиллаж байна.

Ransomware-д шифрлэгдсэн өгөгдлийг сэргээх зөвлөмж:

1. 1Халдлагын үед Bitdefender-ийн Ransomware Remediation модуль идэвхтэй байсан бол таны файлууд автоматаар сэргэнэ.
2. 2Мөн гадаад төхөөрөмж эсвэл үүлэн дэх нөөц хуулбараас эх файлуудаа сэргээх боломжтой.
3. 3nomoreransom.org зэрэг санаачилга нь хууль сахиулах байгууллага эсвэл аюулгүй байдлын компаниуд тодорхой ransomware гэр бүлийн файлыг тайлах арга олсон тохиолдолд хохирогчдод өгөгдлөө сэргээхэд тусалдаг.