Запознайте се: ransomware Nemty от фалшивия сайт на PayPal

В мрежата се появи новият шифровалник Nemty, който вероятно е наследник на GrandCrab или Buran. Вредоносният софтуер основно се разпространява чрез фалшив сайт на PayPal и има редица интересни характеристики. Подробности за работата на този ransomware – под кат.

Новият шифровалник Nemty откри потребителят nao_sec 7 септември 2019 година. Вредоносният софтуер се разпространяваше чрез сайт, скрит под PayPal, също така има възможност за проникване на ransomware на компютър чрез експлойтиновия комплект RIG. Злоумышленниците избраха методи на социално инженерство, за да накарат потребителя да стартира файла cashback.exe, който той уж получава от сайта на PayPal. Любопитно е, че в Nemty е посочен неправилен порт за локалната прокси услуга Tor, което не позволява на вредоносния софтуер да изпраща данни на сървъра. Затова на потребителя ще се наложи сам да качва криптираните файлове в мрежата Tor, ако иска да плати откупа и да чака от злосторниците декриптиране.

Няколко любопитни факта за Nemty подсказват, че той е разработен от същите хора или свързани с Buran и GrandCrab киберпрестъпници.

• Както и в GandCrab, в Nemty има великденска скрита изненада — линк към снимка на президента на Руската Федерация Владимир Путин с груба шега. В остарелия шифровалник GandCrab имаше изображение със същия текст.
• Езиковите артефакти и на двете програми показват, че са от същите русскоязични автори.
• Това е първият шифровалник, който използва 8092-битов ключ RSA. Въпреки че няма смисъл в това: 1024-битов ключ е напълно достатъчен за защита от хакване.
• Както и Buran, шифровалникът е написан на Object Pascal и е компилиран на Borland Delphi.

Статичен анализ

Изпълнението на вредоносния код се извършва в четири етапа. Първата стъпка е стартиране на cashback.exe, PE32 изпълним файл за MS Windows с размер 1198936 байта. Неговият код е написан на Visual C++ и е компилиран на 14 октомври 2013 година. В него има архив, който автоматично се разопакова при стартиране на cashback.exe. Софтуерът използва библиотеката Cabinet.dll и нейните функции FDICreate(), FDIDestroy() и други за получаване на файлове от архива .cab.

SHA-256: A127323192ABED93AED53648D03CA84DE3B5B006B641033EB46A520B7A3C16FC

След разопаковането на архива ще се появят три файла.

След това стартира temp.exe, PE32 изпълним файл за MS Windows с размер 307200 байта. Кодът е написан на Visual C++ и е опакован с MPRESS packer, опаковчик, подобен на UPX.

SHA-256: EBDBA4B1D1DE65A1C6B14012B674E7FA7F8C5F5A8A5A2A9C3C338F02DD726AAD

Следващата стъпка е ironman.exe. След стартиране, temp.exe декриптира внедрените данни в temp и ги преименува на ironman.exe, PE32 изпълним файл с размер 544768 байта. Кодът е компилиран в Borland Delphi.

SHA-256: 2C41B93ADD9AC5080A12BF93966470F8AB3BDE003001492A10F63758867F2A88

Последната стъпка е рестартиране на файла ironman.exe. По време на изпълнението той преобразува кода си и стартира самия себе си от паметта. Тази версия на ironman.exe е злонамерена и е отговорна за криптиране.

Вектор на атака

В момента криптиране на Nemty се разпространява чрез сайта pp-back.info.

Цялата верига на инфекцията може да бъде видяна на app.any.run пясъчник.

Инсталиране на

Cashback.exe е началото на атаката. Както беше споменато, cashback.exe разархивира .cab файла, който съдържа. След това той създава папка TMP4351$.TMP под вида %TEMP%IXxxx.TMP, където xxx е число от 001 до 999.

След това се установява ключ на регистъра, който изглежда така:

[HKLMSOFTWAREWOW6432NodeMicrosoftWindowsCurrentVersionRunOncewextract_cleanup0]
“rundll32.exe” “C:Windowssystem32advpack.dll,DelNodeRunDLL32 «C:UsersMALWAR~1AppDataLocalTempIXPxxx.TMP»”

Той се използва за изтриване на разархивираните файлове. Накрая, cashback.exe стартира процеса temp.exe.

Temp.exe е втората стъпка в веригата на инфекция

Това е процес, стартиран от файла cashback.exe, втората стъпка на изпълнението на вируса. Той се опитва да изтегли AutoHotKey — инструмент за изпълнение на скриптове под Windows — и да стартира скрипта WindowSpy.ahk, разположен в ресурсите на PE файла.

Скриптът WindowSpy.ahk декриптира файла temp в ironman.exe, използвайки алгоритъма RC4 и паролата IwantAcake. Ключът от паролата се генерира с алгоритъма за хеширане MD5.

След това temp.exe извиква процеса ironman.exe.

Ironman.exe е третата стъпка

Ironman.exe прочита съдържанието на файла iron.bmp и създава файла iron.txt с криптолокер, който ще бъде стартиран след това.

След това вирусът зарежда iron.txt в паметта и го рестартира като ironman.exe. След това iron.txt се изтрива.

ironman.exe е основната част на изнудвача NEMTY, който криптира файловете на заразения компютър. Зловредният софтуер създава mutex с името hate.

Първото нещо, което прави, е да определи географското местоположение на компютъра. Nemty отваря браузъра и установява IP на http://api.ipify.org. На сайта api.db-ip.com/v2/free[IP]/countryName по получения IP се определя страната, и ако компютърът се намира в един от посочените по-долу региони, изпълнението на кода на злонамерения софтуер спира:

• Русия
• Беларус
• Украйна
• Казахстан
• Таджикистан

Скорее всего, разработчиците не искат да привлекат вниманието на правоохранителите в страните, в които живеят, и затова не криптираят файловете в „родните“ юрисдикции.

Ако IP адресът на жертвата не попада в списъка по-горе, вирусът криптира информацията на потребителя.

За да предотвратят възстановяването на файловете, техните тенирани копия се изтриват:

След това се създава списък с файлове и папки, които няма да бъдат криптирани, както и списък с разширения на файловете.

• windows
• $RECYCLE.BIN
• rsa
• NTDETECT.COM
• ntldr
• MSDOS.SYS
• IO.SYS
• boot.ini AUTOEXEC.BAT ntuser.dat
• desktop.ini
• CONFIG.SYS
• BOOTSECT.BAK
• bootmgr
• programdata
• appdata
• osoft
• Common Files

log LOG CAB cab CMD cmd COM com cpl
CPL exe EXE ini INI dll DDL lnk LNK url
URL ttf TTF DECRYPT.txt NEMTY 

Обфускация

За да скрие URL адресите и внедрените конфигурационни данни, Nemty използва алгоритъм за кодиране base64 и RC4 с ключова фраза fuckav.

Процесът на декриптиране с използване на CryptStringToBinary изглежда по следния начин

Шифроване

Nemty използва трислойно криптиране:

• AES-128-CBC за файлове. 128-битов AES ключ се генерира случайно и същият се използва за всички файлове. Той се съхранява в конфигурационния файл на компютъра на потребителя. IV се генерира случайно за всеки файл и се съхранява в криптирания файл.
• RSA-2048 за криптиране на файлове IV. Генерира се ключова двойка за сесия. Частният ключ за сесията се съхранява в конфигурационния файл на компютъра на потребителя.
• RSA-8192. Основният публичен ключ е вграден в програмата и се използва за криптиране на конфигурационния файл, в който се съхранява AES ключът и секретният ключ за сесия RSA-2048.
• Първо Nemty генерира 32 байта случайни данни. Първите 16 байта се използват като ключ за AES-128-CBC.

Вторият алгоритъм за криптиране е RSA-2048. Ключовата двойка се генерира с функцията CryptGenKey() и се импортира с функцията CryptImportKey().

След като ключовата двойка за сесията е генерирана, публичният ключ се импортира в MS Cryptographic Service Provider.

Пример на генерирания публичен ключ за сесията:

След това частният ключ се импортира в CSP.

Пример на генерирания частен ключ за сесията:

И накрая, идва RSA-8192. Основният публичен ключ се съхранява в криптиран вид (Base64 + RC4) в секцията .data на PE файла.

Ключът RSA-8192 след декодиране на base64 и декриптиране на RC4 с паролата fuckav изглежда така.

В резултат, целият процес на криптиране изглежда по следния начин:

• Генериране на 128-битен AES ключ, който ще се използва за криптиране на всички файлове.
• Създаване на IV за всеки файл.
• Създаване на ключова двойка за сесия RSA-2048.
• Дешифриране на съществуващия ключ RSA-8192 с помощта на base64 и RC4.
• Криптиране на съдържанието на файловете с помощта на алгоритъма AES-128-CBC от първата стъпка.
• Криптиране на IV с помощта на публичния ключ RSA-2048 и кодиране в base64.
• Добавяне на криптирания IV в края на всеки криптиран файл.
• Добавяне на AES ключа и частния ключ от сесия RSA-2048 в конфигурацията.
• Данни за конфигурацията, описани в раздела Събиране на информация за заразен компютър, криптирана с основния публичен ключ RSA-8192.
• Криптирания файл изглежда по следния начин:

Пример за криптирани файлове:

Събиране на информация за заразения компютър

Вирусът събира ключове за дешифриране на заразените файлове, така че нападателят наистина да може да създаде дешифратор. Освен това, Nemty събира потребителски данни, като потребителско име, име на компютъра, хардуерен профил.

Той извиква функции GetLogicalDrives(), GetFreeSpace(), GetDriveType(), за да събере информация за дисковете на заразения компютър.

Събраната информация се съхранява в конфигурационен файл. Декодирайки строката, получаваме списък с параметри в конфигурационния файл:

Пример за конфигурация на заразен компютър:

Шаблонът на конфигурацията може да се представи по следния начин:

{"General": {"IP":"[IP]","Country":"[Country]","ComputerName":"[ComputerName]","Username":"[Username]","OS":"[OS]","isRU":false,"version":"1.4","CompID":"{[CompID]}","FileID":"_NEMTY_[FileID]_","UserID":"[UserID]","key":"[key]","pr_key":"[pr_key]

Събраните данни Nemty се съхраняват във формат JSON в файла %USER%/_NEMTY_.nemty. FileID с дължина 7 символа се генерира случайно. Например: _NEMTY_tgdLYrd_.nemty. FileID също се добавя в края на криптирания файл.

Съобщение за откуп

След криптирането на файловете на работния плот се появява файл _NEMTY_[FileID]-DECRYPT.txt със следното съдържание:

В края на файла се намира криптирана информация за заразения компютър.

Мрежова комуникация

Процесът ironman.exe изтегля дистрибуцията на браузъра Tor от адреса https://dist.torproject.org/torbrowser/8.5.4/tor-win32-0.4.0.5.zip и се опитва да го инсталира.

След това Nemty се опитва да изпрати конфигурационни данни на адрес 127.0.0.1:9050, където очаква да намери работещ прокси-сървър на браузъра Tor. Обаче по подразбиране прокси-сървърът Tor слуша на порт 9150, а порт 9050 се използва от демона Tor в Linux или Expert Bundle в Windows. Така че, данните не се изпращат на сървъра на нападателя. Вместо това потребителят може ръчно да качи конфигурационния файл, като посети услугата за декриптиране на Tor чрез връзката, посочена в съобщението за откуп.

Свързване с прокси Tor:

HTTP GET създава заявка на 127.0.0.1:9050/public/gate?data=

Тук виждате отворените TCP портове, които се използват от прокси TORlocal:

Услугата за декриптиране на Nemty в мрежата Tor:

Можете да качите криптирано изображение (jpg, png, bmp) за тестване на услугата за декриптиране.

След това нападателят иска да се плати откуп. В случай на неплащане, цената се удвоява.

Заключение

В момента няма начин да се декриптират файлове, криптирани от Nemty, без да се плати откуп. Тази версия на ransomware има общи черти с криптиращите програми Buran и остарялото GandCrab: компилиране на Borland Delphi и изображения с един и същи текст. Освен това, това е първият криптиращ програм, който използва 8092-битов RSA ключ, което, да повторим, няма никакъв смисъл, тъй като 1024-битовият ключ е напълно достатъчен за защита. Накрая, любопитно е, че той се опитва да използва неверния порт за местната услуга на прокси Tor.

Въпреки това, решенията Acronis Backup и Acronis True Image не позволяват на криптиращия програм Nemty да достигне до персоналните компютри и данни на потребителите, а доставчиците могат да защитят клиентите си с помощта на Acronis Backup Cloud. Пълна Киберзащита осигурява не само архивиране, но също така защита с използването на Acronis Active Protection, специална технология основана на изкуствен интелект и поведенческа хеуристика, която позволява неутрализиране дори на все още неизвестен зловреден софтуер.

Източник: habr.com