Дигитална епидемия: CoronaVirus срещу CoViper

На фона на пандемията от коронавирус има усещането, че успоредно с нея е избухнала също толкова мащабна дигитална епидемия. [1]. Скоростта на нарастване на броя на фишинг сайтове, нежелана поща, измамнически ресурси, зловреден софтуер и подобна злонамерена дейност поражда сериозни опасения. За мащабите на продължаващото беззаконие говори и новината, че „изнудвачите обещават да не атакуват лечебни заведения” [2]. Да, точно така: тези, които защитават живота и здравето на хората по време на пандемията, също са обект на атаки от злонамерен софтуер, какъвто беше случаят в Чехия, където рансъмуерът CoViper наруши работата на няколко болници [3].
Има желание да се разбере какво представлява ransomware, използващ темата за коронавируса, и защо се появява толкова бързо. В мрежата бяха открити проби от злонамерен софтуер - CoViper и CoronaVirus, които атакуваха много компютри, включително в държавни болници и медицински центрове.
И двата изпълними файла са във формат Portable Executable, което предполага, че са насочени към Windows. Те също са компилирани за x86. Трябва да се отбележи, че те са много сходни помежду си, само CoViper е написан на Delphi, както се вижда от датата на компилация от 19 юни 1992 г. и имената на секциите, и CoronaVirus на C. И двамата са представители на криптори.
Рансъмуерът или рансъмуерът са програми, които веднъж на компютъра на жертвата криптират потребителски файлове, нарушават нормалния процес на зареждане на операционната система и информират потребителя, че трябва да плати на нападателите, за да го дешифрират.
След стартиране на програмата, тя търси потребителски файлове на компютъра и ги криптира. Те извършват търсения, използвайки стандартни API функции, примери за използване на които могат лесно да бъдат намерени в MSDN [4].

Фиг.1 Търсене на потребителски файлове

След известно време те рестартират компютъра и показват подобно съобщение за блокиран компютър.

Фиг.2 Съобщение за блокиране

За да наруши процеса на зареждане на операционната система, рансъмуерът използва проста техника за промяна на записа за зареждане (MBR) [5] използвайки Windows API.

Фиг.3 Модифициране на зареждащ запис

Този метод за ексфилтриране на компютър се използва от много други ransomware: SmartRansom, Maze, ONI Ransomware, Bioskits, MBRlock Ransomware, HDDCryptor Ransomware, RedBoot, UselessDisk. Реализирането на пренаписване на MBR е достъпно за широката публика с появата на изходни кодове за програми като MBR Locker онлайн. Потвърждаване на това в GitHub [6] можете да намерите огромен брой хранилища с изходен код или готови проекти за Visual Studio.
Компилиране на този код от GitHub [7], резултатът е програма, която деактивира компютъра на потребителя за няколко секунди. И отнема около пет или десет минути, за да го сглобите.
Оказва се, че за да сглобите злонамерен зловреден софтуер не е необходимо да имате големи умения или ресурси; всеки и навсякъде може да го направи. Кодът е свободно достъпен в интернет и лесно може да бъде възпроизведен в подобни програми. Това ме кара да се замисля. Това е сериозен проблем, който изисква намеса и предприемане на определени мерки.

Източник: www.habr.com