Wulfric Ransomware – একটি ransomware যা বিদ্যমান নেই

কখনও কখনও আপনি কিছু ভাইরাস লেখকের চোখের দিকে তাকাতে চান এবং জিজ্ঞাসা করতে চান: কেন এবং কেন? আমরা নিজেরাই "কিভাবে" প্রশ্নের উত্তর দিতে পারি, তবে এই বা সেই ম্যালওয়্যার নির্মাতা কী ভাবছিলেন তা খুঁজে বের করা খুব আকর্ষণীয় হবে। বিশেষত যখন আমরা এই ধরনের "মুক্তা" জুড়ে আসি।

আজকের নিবন্ধের নায়ক একটি ক্রিপ্টোগ্রাফারের একটি আকর্ষণীয় উদাহরণ। এটি দৃশ্যত অন্য একটি "র্যানসমওয়্যার" হিসাবে কল্পনা করা হয়েছিল, তবে এর প্রযুক্তিগত বাস্তবায়নটি কারও নিষ্ঠুর রসিকতার মতো দেখায়। আমরা আজ এই বাস্তবায়ন সম্পর্কে কথা বলব।

দুর্ভাগ্যবশত, এই এনকোডারের জীবনচক্রের সন্ধান করা প্রায় অসম্ভব - এটিতে খুব কম পরিসংখ্যান রয়েছে, যেহেতু, ভাগ্যক্রমে, এটি ব্যাপক হয়ে ওঠেনি। অতএব, আমরা উত্স, সংক্রমণের পদ্ধতি এবং অন্যান্য রেফারেন্স ছেড়ে দেব। এর সাথে দেখা করার ক্ষেত্রে আমাদের কথা বলা যাক Wulfric Ransomware এবং কিভাবে আমরা ব্যবহারকারীকে তার ফাইল সংরক্ষণ করতে সাহায্য করেছি।

I. কিভাবে সব শুরু হয়েছিল

যারা র‍্যানসমওয়্যারের শিকার হয়েছেন তারা প্রায়ই আমাদের অ্যান্টি-ভাইরাস পরীক্ষাগারে যোগাযোগ করেন। তারা কোন অ্যান্টিভাইরাস পণ্য ইনস্টল করেছে তা নির্বিশেষে আমরা সহায়তা প্রদান করি। এই সময় আমাদের সাথে একজন ব্যক্তির দ্বারা যোগাযোগ করা হয়েছিল যার ফাইলগুলি একটি অজানা এনকোডার দ্বারা প্রভাবিত হয়েছিল৷

শুভ অপরাহ্ন ফাইলগুলি একটি ফাইল স্টোরেজ (samba4) এ পাসওয়ার্ডহীন লগইন সহ এনক্রিপ্ট করা হয়েছিল। আমি সন্দেহ করি যে সংক্রমণটি আমার মেয়ের কম্পিউটার থেকে এসেছে (উইন্ডোজ 10 স্ট্যান্ডার্ড উইন্ডোজ ডিফেন্ডার সুরক্ষা সহ)। এরপর মেয়ের কম্পিউটার চালু হয়নি। ফাইলগুলি প্রধানত .jpg এবং .cr2 এনক্রিপ্ট করা হয়। এনক্রিপশনের পরে ফাইল এক্সটেনশন: .aef.

আমরা ব্যবহারকারীর কাছ থেকে এনক্রিপ্ট করা ফাইলের নমুনা, একটি মুক্তিপণ নোট এবং একটি ফাইল পেয়েছি যেটি সম্ভবত ফাইলগুলি ডিক্রিপ্ট করার জন্য র‍্যানসমওয়্যার লেখকের প্রয়োজনীয় চাবিকাঠি।

এখানে আমাদের সব সূত্র আছে:

• 01c.aef (4481K)
• hacked.jpg (254K)
• hacked.txt (0K)
• 04c.aef (6540K)
• pass.key (0K)

আসুন নোটটি দেখে নেওয়া যাক। এবার কত বিটকয়েন?

অনুবাদ:

মনোযোগ, আপনার ফাইল এনক্রিপ্ট করা হয়!
পাসওয়ার্ডটি আপনার পিসির জন্য অনন্য।

বিটকয়েন ঠিকানায় 0.05 BTC পরিমাণ অর্থ প্রদান করুন: 1ERtRjWAKyG2Edm9nKLLCzd8p1CjjdTiF
অর্থপ্রদানের পরে, pass.key ফাইলটি সংযুক্ত করে আমাকে একটি ইমেল পাঠান [ইমেল সুরক্ষিত] অর্থপ্রদানের বিজ্ঞপ্তি সহ।

নিশ্চিতকরণের পরে, আমি আপনাকে ফাইলগুলির জন্য একটি ডিক্রিপ্টর পাঠাব।

আপনি বিভিন্ন উপায়ে অনলাইনে বিটকয়েনের জন্য অর্থ প্রদান করতে পারেন:
buy.blockexplorer.com - ব্যাঙ্ক কার্ড দ্বারা অর্থ প্রদান
www.buybitcoinworldwide.com
localbitcoins.net

বিটকয়েন সম্পর্কে:
en.wikipedia.org/wiki/Bitcoin
যদি আপনার কোন প্রশ্ন থাকে, দয়া করে আমাকে লিখুন [ইমেল সুরক্ষিত]
বোনাস হিসাবে, আমি আপনাকে বলব কিভাবে আপনার কম্পিউটার হ্যাক হয়েছিল এবং ভবিষ্যতে কীভাবে এটি রক্ষা করা যায়।

একটি দাম্ভিক নেকড়ে, শিকারকে পরিস্থিতির গুরুতরতা দেখানোর জন্য ডিজাইন করা হয়েছে। যাইহোক, এটি আরও খারাপ হতে পারে।

ভাত। 1. -বোনাস হিসাবে, আমি আপনাকে বলব কিভাবে ভবিষ্যতে আপনার কম্পিউটারকে সুরক্ষিত রাখবেন। - বৈধ মনে হচ্ছে।

২. চল শুরু করি

প্রথমত, আমরা প্রেরিত নমুনার গঠন দেখেছি। অদ্ভুতভাবে, এটি র্যানসমওয়্যার দ্বারা ক্ষতিগ্রস্ত একটি ফাইলের মতো দেখাচ্ছে না। হেক্সাডেসিমাল এডিটর খুলুন এবং একবার দেখুন। প্রথম 4 বাইটে মূল ফাইলের আকার থাকে, পরবর্তী 60 বাইট শূন্য দিয়ে পূর্ণ হয়। তবে সবচেয়ে মজার বিষয় হল শেষে:

ভাত। 2 ক্ষতিগ্রস্ত ফাইল বিশ্লেষণ করুন. কি অবিলম্বে আপনার চোখ ক্যাচ?

সবকিছু বিরক্তিকরভাবে সহজ হয়ে উঠেছে: হেডার থেকে 0x40 বাইট ফাইলের শেষে সরানো হয়েছে। ডেটা পুনরুদ্ধার করতে, এটিকে শুরুতে ফিরিয়ে দিন। ফাইলে অ্যাক্সেস পুনরুদ্ধার করা হয়েছে, কিন্তু নামটি এনক্রিপ্ট করা রয়ে গেছে এবং এটির সাথে জিনিসগুলি আরও জটিল হচ্ছে।

ভাত। 3. বেস64-এ এনক্রিপ্ট করা নামটি অক্ষরের একটি র‍্যাম্বলিং সেটের মতো দেখায়।

এর এটা বের করার চেষ্টা করা যাক pass.key, ব্যবহারকারী দ্বারা জমা. এটিতে আমরা ASCII অক্ষরের একটি 162-বাইট ক্রম দেখতে পাই।

ভাত। 4. শিকারের পিসিতে 162টি অক্ষর বাকি আছে।

আপনি যদি ঘনিষ্ঠভাবে লক্ষ্য করেন তবে আপনি লক্ষ্য করবেন যে প্রতীকগুলি একটি নির্দিষ্ট কম্পাঙ্কের সাথে পুনরাবৃত্তি হয়। এটি XOR এর ব্যবহার নির্দেশ করতে পারে, যা পুনরাবৃত্তি দ্বারা চিহ্নিত করা হয়, যার ফ্রিকোয়েন্সি কী দৈর্ঘ্যের উপর নির্ভর করে। স্ট্রিংটিকে 6টি অক্ষরে বিভক্ত করে এবং XOR সিকোয়েন্সের কিছু রূপের সাথে XORed করার পরে, আমরা কোন অর্থপূর্ণ ফলাফল অর্জন করতে পারিনি।

ভাত। 5. মাঝখানে পুনরাবৃত্তি ধ্রুবক দেখুন?

আমরা ধ্রুবকগুলি গুগল করার সিদ্ধান্ত নিয়েছি, কারণ হ্যাঁ, এটিও সম্ভব! এবং তারা সব শেষ পর্যন্ত একটি অ্যালগরিদম নেতৃত্বে - ব্যাচ এনক্রিপশন. স্ক্রিপ্ট অধ্যয়ন করার পরে, এটি পরিষ্কার হয়ে গেছে যে আমাদের লাইনটি তার কাজের ফলাফল ছাড়া আর কিছুই নয়। এটি উল্লেখ করা উচিত যে এটি মোটেও একটি এনক্রিপ্টর নয়, তবে একটি এনকোডার যা 6-বাইট সিকোয়েন্সের সাথে অক্ষর প্রতিস্থাপন করে। আপনার জন্য কোন চাবি বা অন্যান্য গোপনীয়তা নেই :)

ভাত। 6. অজানা লেখকের মূল অ্যালগরিদমের একটি অংশ।

অ্যালগরিদম একটি বিশদ বিবরণের জন্য না হলে এটি যেমন কাজ করবে তেমন কাজ করবে না:

ভাত। 7. মরফিয়াস অনুমোদিত।

বিপরীত প্রতিস্থাপন ব্যবহার করে আমরা স্ট্রিংকে রূপান্তর করি pass.key 27 অক্ষরের একটি পাঠ্যের মধ্যে। মানুষের (সম্ভবত) পাঠ্য 'অসমোদত' বিশেষ মনোযোগের দাবি রাখে।

চিত্র 8. USGFDG=7.

Google আবার আমাদের সাহায্য করবে। একটু খোঁজাখুঁজির পর, আমরা GitHub-এ একটি আকর্ষণীয় প্রজেক্ট পাই - ফোল্ডার লকার, .Net-এ লেখা এবং অন্য গিট অ্যাকাউন্ট থেকে 'asmodat' লাইব্রেরি ব্যবহার করে।

ভাত। 9. ফোল্ডার লকার ইন্টারফেস. ম্যালওয়্যার চেক করতে ভুলবেন না.

ইউটিলিটি হল উইন্ডোজ 7 এবং উচ্চতর জন্য একটি এনক্রিপ্টর, যা ওপেন সোর্স হিসাবে বিতরণ করা হয়। এনক্রিপশনের সময়, একটি পাসওয়ার্ড ব্যবহার করা হয়, যা পরবর্তী ডিক্রিপশনের জন্য প্রয়োজনীয়। আপনাকে পৃথক ফাইল এবং সম্পূর্ণ ডিরেক্টরির সাথে উভয়ই কাজ করার অনুমতি দেয়।

এর লাইব্রেরি CBC মোডে Rijndael সিমেট্রিক এনক্রিপশন অ্যালগরিদম ব্যবহার করে। এটি লক্ষণীয় যে ব্লকের আকার 256 বিট হিসাবে বেছে নেওয়া হয়েছিল - AES স্ট্যান্ডার্ডে গৃহীত এর বিপরীতে। পরবর্তীতে, আকারটি 128 বিটের মধ্যে সীমাবদ্ধ।

আমাদের কী PBKDF2 মান অনুযায়ী তৈরি করা হয়েছে। এই ক্ষেত্রে, ইউটিলিটিতে প্রবেশ করা স্ট্রিং থেকে পাসওয়ার্ড হল SHA-256। ডিক্রিপশন কী তৈরি করতে এই স্ট্রিংটি খুঁজে বের করা বাকি আছে।

ওয়েল, এর আমাদের ইতিমধ্যে ডিকোড ফিরে আসা যাক pass.key. সংখ্যার সেট এবং পাঠ্য 'asmodat' সহ সেই লাইনটি মনে আছে? আসুন ফোল্ডার লকারের জন্য একটি পাসওয়ার্ড হিসাবে স্ট্রিংয়ের প্রথম 20 বাইট ব্যবহার করার চেষ্টা করি।

দেখুন, এটা কাজ করে! কোড শব্দটি এসেছে, এবং সবকিছু নিখুঁতভাবে বোঝানো হয়েছে। পাসওয়ার্ডের অক্ষর দ্বারা বিচার করে, এটি ASCII-তে একটি নির্দিষ্ট শব্দের একটি HEX উপস্থাপনা। আসুন কোড ওয়ার্ডটি টেক্সট আকারে প্রদর্শন করার চেষ্টা করি। আমরা পেতে 'শ্যাডো উলফ' ইতিমধ্যে lycanthropy এর উপসর্গ অনুভব করছেন?

আসুন প্রভাবিত ফাইলের কাঠামোর দিকে আরেকটা নজর দেওয়া যাক, এখন জেনে নিন কিভাবে লকার কাজ করে:

• 02 00 00 00 – নাম এনক্রিপশন মোড;
• 58 00 00 00 – এনক্রিপ্ট করা এবং বেস64 এনকোড করা ফাইলের নামের দৈর্ঘ্য;
• 40 00 00 00 – স্থানান্তরিত হেডারের আকার।

এনক্রিপ্ট করা নাম নিজেই এবং স্থানান্তরিত হেডার যথাক্রমে লাল এবং হলুদে হাইলাইট করা হয়েছে।

ভাত। 10. এনক্রিপ্ট করা নামটি লাল রঙে হাইলাইট করা হয়েছে, স্থানান্তরিত হেডারটি হলুদে হাইলাইট করা হয়েছে৷

এখন হেক্সাডেসিমেল উপস্থাপনায় এনক্রিপ্ট করা এবং ডিক্রিপ্ট করা নামগুলি তুলনা করা যাক।

ডিক্রিপ্ট করা ডেটার কাঠামো:

• 78 B9 B8 2E – ইউটিলিটি দ্বারা তৈরি আবর্জনা (4 বাইট);
• 0С 00 00 00 – ডিক্রিপ্ট করা নামের দৈর্ঘ্য (12 বাইট);
• এরপরে আসল ফাইলের নাম এবং প্রয়োজনীয় ব্লক দৈর্ঘ্যের (প্যাডিং) শূন্য সহ প্যাডিং আসে।

ভাত। 11. IMG_4114 অনেক ভালো দেখাচ্ছে।

III. উপসংহার এবং উপসংহার

শুরুতে ফিরে আসি। Wulfric.Ransomware-এর লেখক কী অনুপ্রাণিত করেছিলেন এবং তিনি কী লক্ষ্য অনুসরণ করেছিলেন তা আমরা জানি না। অবশ্যই, গড় ব্যবহারকারীর জন্য, এমনকি এই জাতীয় এনক্রিপ্টারের কাজের ফলাফলটি একটি বড় বিপর্যয়ের মতো মনে হবে। ফাইল খুলছে না। সব নাম চলে গেছে। স্বাভাবিক ছবির পরিবর্তে পর্দায় একটি নেকড়ে আছে। তারা আপনাকে বিটকয়েন সম্পর্কে পড়তে বাধ্য করে।

সত্য, এই সময়, একটি "ভয়ানক এনকোডার" এর ছদ্মবেশে চাঁদাবাজির এমন একটি হাস্যকর এবং মূর্খ প্রচেষ্টা লুকিয়ে ছিল, যেখানে আক্রমণকারী রেডিমেড প্রোগ্রামগুলি ব্যবহার করে এবং অপরাধের দৃশ্যে চাবিগুলি ছেড়ে দেয়।

উপায় দ্বারা, কী সম্পর্কে. আমাদের কোন ক্ষতিকারক স্ক্রিপ্ট বা ট্রোজান ছিল না যা আমাদের বুঝতে সাহায্য করতে পারে কিভাবে এটি ঘটেছে। pass.key - সংক্রামিত পিসিতে ফাইলটি যে পদ্ধতিতে প্রদর্শিত হয় তা অজানা থেকে যায়। কিন্তু, আমার মনে আছে, লেখক তার নোটে পাসওয়ার্ডের স্বতন্ত্রতা উল্লেখ করেছেন। সুতরাং, ডিক্রিপশনের জন্য কোড শব্দটি ইউজারনেম শ্যাডো উলফের মতই অনন্য :)

এবং এখনও, ছায়া নেকড়ে, কেন এবং কেন?

উত্স: www.habr.com